在Log4shell漏洞曝光之后，美國網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施局(CISA)一直在密切關(guān)注事態(tài)發(fā)展。除了敦促聯(lián)邦機(jī)構(gòu)在圣誕假期之前完成修補(bǔ)，國防部下屬的該機(jī)構(gòu)還發(fā)起了#HackDHS漏洞賞金計劃。最新消息是，CISA 又推出了一款名叫l(wèi)og4j-scanner的漏洞掃描器，以幫助各機(jī)構(gòu)篩查易受攻擊的web服務(wù)。

據(jù)悉，作為CISA快速行動小組與開源社區(qū)團(tuán)隊的一個衍生項(xiàng)目，log4j-scanner能夠?qū)σ资軆蓚€Apache遠(yuǎn)程代碼執(zhí)行漏洞影響的Web服務(wù)進(jìn)行識別(分別是CVE-2021-44228和CVE-2021-45046)。

這套掃描解決方案建立在類似的工具之上，包括由網(wǎng)絡(luò)安全公司FullHunt開發(fā)的針對CVE-2021-44228漏洞的自動掃描框架。有需要的安全團(tuán)隊，可借助該工具對網(wǎng)絡(luò)主機(jī)進(jìn)行掃描，以查找Log4j RCE暴露和讓W(xué)eb應(yīng)用程序繞過防火墻(WAF)的潛在威脅。

目前該項(xiàng)目在Github已經(jīng)獲得了814星標(biāo)。