> ## Content Index
> Fetch the complete content index at: https://admin.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# Против уязвимости в библиотеке Log4j не помогают патчи безопасности
- URL: https://admin.kod.ru/super-uiazvimost-log4j/
- Published: 2021-12-15T16:02:52.000Z
- Updated: 2021-12-15T16:13:36.000Z
- Description: Разработчики обнаружили новую уязвимость, которая делает предыдущее исправление безопасности бессмысленным.
- Author: Влад Войтенко
- Tags: Новости

Несколько дней назад стало известно, что специалисты по вопросам кибербезопасности в Alibaba Cloud [обнаружили](https://admin.kod.ru/0-day-uiazvimost-log4j/) в Log4j уязвимость нулевого дня, которая позволяет удалённо выполнить произвольный код и взломать серверы крупнейших компаний, а также миллионы устройств в интернете.

[Выявлена 0-day уязвимость в библиотеке Log4j, представляющая угрозу для множества приложенийСпециалисты по вопросам кибербезопасности в Alibaba Cloud обнаружили опасную уязвимость, которая может позволить злоумышленникам удалённо выполнить произвольный код.![](https://kod.ru/assets/images/logo-maskable-512x512.png?v=23a325ef46)Код ДуроваИгорь Савкин![](https://kod.ru/content/images/2021/12/IMG_1265-1.PNG)](https://admin.kod.ru/0-day-uiazvimost-log4j/)

Уязвимость [CVE-2021-44228](https://nvd.nist.gov/vuln/detail/CVE-2021-44228?ref=admin.kod.ru) набрала 10 баллов из 10 возможных по шкале CVSS. По уверениям экспертов из LunaSec, эксплоит затронул серверы Apple, Amazon, Twitter, Steam, Tencent, Baidu, DIDI, JD, NetEase и тысячи других компаний. После этого в Log4j был выпущен экстренный патч под версией 2.15.0, который исправляет данную ошибку.

Однако это привело к обнаружению новой уязвимости ([CVE-2021-45046](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046&ref=admin.kod.ru)), которая делает исправление безопасности бессмысленным:

> Было обнаружено, что исправление для устранения CVE-2021-44228 в Apache Log4j 2.15.0 было неполным в некоторых конфигурациях не по умолчанию. Это может позволить злоумышленникам, имеющим контроль над входными данными Thread Context Map (MDC), \[...\] создать вредоносные входные данные с использованием шаблона JNDI Lookup, что приводит к DOS-атаке.

Оказалось, что если передавать строку не напрямую, а через промежуточную переменную, то библиотека Log4j будет так же бесконтрольно выполнять любой код в этой строке. Для защиты от атаки разработчики советуют обновить библиотеку до новейших версий 2.16 или 2.12.2.

![](https://admin.kod.ru/content/images/2021/12/image-45.png)

Рост атак с попытками использовать уязвимость. Изображение: Check Point

Новый патч предполагает закрытие возможности подставлять в строки специально оформленный код. Тем временем за первые трое суток после того, как стало известно об уязвимости, [произошло](https://blog.checkpoint.com/2021/12/13/the-numbers-behind-a-cyber-pandemic-detailed-dive/?ref=admin.kod.ru) более 800 000 атак с попытками использовать её. Эксперты отмечают, что эксплоитом пользуются майнеры и вирусы-шифровальщики.