原标题：核弹级漏洞log4shell席卷全球!危及苹果腾讯百度网易，修改iPhone名称就可触发

　　新西兰计算机紧急响应中心(CERT)、美国国家安全局、德国电信CERT、中国国家互联网应急中心(CERT/CC)等多国机构相继发出警告小火箭全代理模式。

　　已证实服务器易受到漏洞攻击的公司包括苹果、亚马逊、特斯拉、谷歌、百度、腾讯、网易、京东、Twitter、 Steam等。据统计，共有6921个应用程序都有被攻击的风险，其中《我的世界》首轮即被波及。

　　这个漏洞最早是由阿里员工发现。11月24日，阿里云安全团队向Apache报告了Apache Log4j2远程代码执行(RCE)漏洞。12月9日，更多利用细节被公开。

　　而作为当中的开源日志组件Apache Log4j2，被数百万基于Java的应用程序、网站和服务所使用。

　　(JNDI：Java命名和目录接口，是Java的一个目录服务应用程序接口，它提供一个目录系统，并将服务名称与对象关联起来，从而使得开发人员在开发过程中可以使用名称来访问对象。)

　　攻击者可利用该漏洞，向目标服务器发送恶意数据，当服务器在将数据写入日志时，触发Log4j2组件解析缺陷，进而在未经授权的情况下，实现远程执行任意代码。

　　以最先受到影响的《我的世界》为例，攻击者只需在游戏聊天中，发送一条带触发指令的消息，就可以对收到该消息的用户发起攻击。

　　而像IT通信(互联网)、工业制造、金融、医疗卫生、运营商等各行各业都将受到波及，全球互联网大厂、游戏公司、电商平台等夜都有被影响的风险。

　　网络监控Greynoise表示，攻击者正在积极寻找易受Log4Shell攻击的服务器，目前大约有100个不同的主机正在扫描互联网，寻找利用 Log4j 漏洞的方法。

　　考虑到这个库无处不在、带来的影响以及触发难度较低，安全平台LunaSec将其称为Log4Shell漏洞，甚至警告说，任何使用Apache Struts的人都“可能容易受到攻击”。

　　2021年12月9日，Apache官方发布了紧急安全更新以修复该远程代码执行漏洞。但更新后的Apache Log4j 2.15.0-rc1 版本被发现仍存在漏洞绕过。