去年公布的Apache Log4j漏洞促使众多云计算服务商及软件厂商加紧修补，但安全研究人员发现AWS第一波的热修补不全，导致添加4项漏洞。不过在通报后，AWS于本周再次修补完成。
Log4j漏洞（即Log4Shell）公布后，AWS安装了热修补程序（hot patch）一方面监控Java应用程序及Java容器安全，同时启动修补。这些修补方案涵盖独立服务器、Kubernetes集群、ECS（Elastic Container Service）集群及无服务器运算引擎Fargate等。这个方案不只用于AWS环境，也可以安装在其他云计算和本地部署环境。
但Palo Alto Networks安全研究人员发现，AWS安装的这个hotpatch及相关AWS自有容器Linux发行版Bottlerocket的OCI hooks（名为Hotdog）有数项漏洞，其中CVE-2021-3100、CVE-2021-3101较早出现。CVE-2021-3100影响hotpatch for Apache Log4j 1.1-12版本以前的权限升级漏洞，让没有特权许可的行程扩展其权限，并以根许可执行程序代码。CVE-2021-3101则影响Hotdog v1.0.1版本以前的容器逃逸（container escape），使同一个环境，包括服务器或Kubernete集群上所有容器的恶意程序可接管底层主机。这些漏洞允许容器逃逸，不论容器是否执行Java应用程序，或是底层是否为AWS Bottlerocket。另外，以用户命名空间或以非根权限用户执行的容器也会受到影响。
但hotpatch for Apache Log4j 1.1-12及Hotdog v1.0.1并未能修补成功，因而衍生出CVE-2022-0070和CVE-2022-0071。
美国NIST漏洞数据库没有给予这四项漏洞风险值，不过Palo Alto将4项漏洞风险分别评为8.8。
AWS接获通报后，于本周稍早针对Amazon Linux、Amazon Linux 2发布了新版hotpatch for Apache Log4j（Version 1.1-16）及新版Hotdog（Version 1.02），建议容器内执行Java应用程序，以及使用具有hotpatch的Bottlerocket用户应立即升级到最新版。
AWS表示，新版Hotpatch需要升级到最新Linux核心，用户不应略过任何核心更新。同样的，新版Hotdog也需Bottlerocket升级到最新版。
相关推荐: 了解真实的日本热门选品，2022日本文具好物大赏
厦门商城系统开发大家都知道日本是文具爱好者的天堂，每年都会挑出具有代表性的产品进行各种评选活动，其中较有名的就是“文具大赏”了。日本文具大赏始于2013年，今年也迎来了自己的十周年生日。每年都有12家文具店作为评审员，审查各厂家推荐的这一年发售的新文具，获奖的…
码刀科技（www.lekshop.cn）是国内知名企业级电商平台提供商，为企业级商家提供最佳的电商平台搭建（多种模式电商平台搭建：B2B/B2B2C/B2C/O2O/新零售/跨境等）、平台管理系统开发及互联网采购解决方案服务, 联系客服了解更多.
