警告！与Log4Shell相似的Java恶意出现了

确保安全研究人员警告说是，一个近期的比较严重的Java正确，也就是说与迄今为止在世界各地区域内内并用的破坏者的 Log4Shell 正确性相同 。

CVE-2021-42392 已经在国家正确性资料特 (NVD) 中正式发布，但据软件企业内JFrog 说是，它影响了流行的H2 Java SQL 资料特的基本功能。

这家确保安全母公司提醒，任何迄今为止行驶的暴露于其 LAN 或 WAN 的 H2 基本功能的该组织立即将资料特更新到 2.0.206 版本，否则接收者可能都会并用它来进行未经身份验证的远程代码执行 (RCE)。

与 Log4Shell 一样，该正确与 JNDI（Java 命名和参考资料接口）“远程类初始化”有关。JNDI 是一种为 Java 应用程序提供命名和参考资料功能的 API。这假定如果接收者可以将恶意 URL 获取到 JNDI 查找中，它就可以启用 RCE。

“便是，根本原因像是 Log4Shell——H2 资料特基础中的多个代码路径将未经截取的接收者控制的 URL 传输给 javax.naming.Context.lookup 函数，该函数允许远程代码特初始化（AKA Java 代码注入 AKA远程代码执行），” JFrog 解释道。

“仅仅只是，org.h2.util.JdbcUtils.getConnection 作法以驱动类名和资料特 URL 作为实例。如果应用程序的类可均等给 javax.naming.Context 类，则该作法都会从中实例化一个对象并调用其查找作法。”

提供诸如“javax.naming.InitialContext”之类的应用程序类和像 ldap://attacker.com/Exploit 这样简单的 URL 将导致远程代码执行。

JFrog 表示，该正确性特别危险，因为 H2 资料特包特别受欢迎。该母公司辩说是，它是前 50 个最受欢迎的 Maven 软件包之一，包括近百 7000 个切削忽视项。

但是，有一些原因导致并用不都会像 Log4Shell 那样广泛。一方面，它具有“直接影响区域内”，这假定易受偷袭的服务器应该更容易找。其次，在大多数 H2 发行版中，基本功能只监听 localhost 联接，这假定默认设置是必定并用的。

“许多供应商可能正在行驶 H2 资料特，但从未行驶 H2 基本功能，虽然除了基本功能之外还有其他formula_可以并用这个原因，但这些其他formula_是忽视于句子的，不太可能暴露给远程接收者。”JFrog 不足之处道。

确保安全威胁情报部门杂志社

“掩盖”资料泄露，前Uber总监确保安全卿被指控

微软警告：Log4j 正确性偷袭水平仍然较高

2022年需要了解的项网络确保安全统计资料

独家！美国宇航局局长即时通讯账号被克里特岛陆军集团匿名入侵

CNET商店PilseTV引述了银行卡资料泄露，超200，000名客户致使