#资讯#
【美国网络安全和基础设施安全局 (CISA)和CrowdStrike发布多个 Log4j 扫描器
但没有一个能检测到所有的格式】据ZDNet12月24日报道，CISA本周发布了自己的Log4J扫描器，同时发布的还有网络安全公司和研究人员发布的其他扫描器。

开源的Log4j扫描器是由开源社区其他成员创建的扫描器派生而来的，其设计目的是帮助组织识别受Log4j漏洞影响的潜在脆弱Web服务。

该协会表示，他们修改了由安全公司FullHunt开发的Log4J扫描器，并得到了菲利普·克劳斯(Philipp Klaus)和莫里茨·贝勒(Moritz Bechler)等其他研究人员的帮助。

存储库为CVE-2021-44228和CVE-2021-45046提供了扫描解决方案。 CISA表示，它支持DNS回调，以发现和验证漏洞，同时为HTTP POST数据参数、JSON数据参数提供fuing，并支持URL列表。

CrowdStrike也发布了自己的免费Log4J扫描器，名为CrowdStrike存档扫描工具(CAST)。
Rezilion的漏洞研究负责人Yotam Perkal对一些Log4J扫描器进行了测试，发现许多扫描器无法找到漏洞的所有实例。

“最大的挑战在于在生产环境的打包软件中检测Log4Shell: Java文件(比如Log4j)可以嵌套到其他文件的几个层次深处——这意味着浅层搜索不会找到它，”Perkal说。 “此外，它们可能被打包成许多不同的格式，这给在其他Java包中挖掘它们带来了真正的挑战。”

Rezilion针对打包的Java文件数据集测试了开发人员和IT团队最常用的9个扫描器，在打包的Java文件数据集中，Log4j被嵌套并以各种格式打包。

Perkal说，虽然有些扫描器比其他扫描器做得更好，但没有一个能检测到所有的格式。 根据Perkal的说法，这项研究说明了“静态扫描在检测Log4j实例方面的局限性”。

“它也提醒我们，检测能力取决于你的检测方法。 扫描器有盲点，”Perkal解释道。
“网络安全主管不能盲目地认为各种开源甚至商业级工具能够检测到所有的边缘情况。 以Log4j为例，在很多地方都有很多边缘实例。”

（编译：涂利慧）

一天一部电影……让圣诞节到来得更快！ 召集您的家人和朋友，观看一些有史以来最好的圣诞电影！ 看看我们下面的列表，不要错过这些精彩的电影哦！[太开心]
Home Alone（小鬼当家）
Die Hard （虎胆龙威）
The Grinch （圣诞怪杰）
Love Actually （真爱至上）
The Holiday （恋爱假期）
Polar Express （极地特快）
Klaus （克劳斯: 圣诞节的秘密）
Nightmare Before Christmas （圣诞夜惊魂）
Elf （圣诞精灵）

想知道提高英语的小秘诀吗？ 观看你最喜欢的带字幕的英文电影，由于已经知道情节，你可以专注于词汇和句子结构来提高英语水平

#VolkerBruch[超话]#
被tip杂志评为最令人尴尬的柏林人？？

去年，阿提拉-希尔曼（Attila Hildmann）排名第一，现在沃尔克-布鲁赫（Volker Bruch）排名第一。杂志《Tip》将这位演员评为最令人尴尬的柏林人。 "Tip "批评说，除其他事项外，从 "柏林巴比伦 "系列中闻名的布鲁赫参加了 "allesdichtmachen "视频活动这一事实。据该杂志称，这值得为特别令人不快的表演颁发斑比奖。在 "allesdichtmachen "和 "allesaufdentisch "中，联邦政府的防疫措施受到了批评，一些批评疫苗接种的立场也被提出。 根据 "提示"，前《图片报》主编朱利安-赖歇尔今年排名第二，其次是演员扬-约瑟夫-莱弗斯，他也参与了 "allesdichtmachen"。排在第6位的是 "柏林各级选举的混乱"，排在第13位的是前卫生部长延斯-斯帕恩，他被嘲弄为 "大流行病学员"。 前市长Klaus Wowereit进入了100名中的第100名。在接受RBB采访时，Wowereit说，柏林政府 "今天比任何地区的储蓄银行都要糟糕"。 该杂志传统上是在年底公布该名单。 #volkerbruch##babylonberlin#