上周五，谷歌开源洞察团队在官方安全博客上发表了一篇文章，详细介绍了 Apache Log4j 漏洞对行业造成的广泛影响。 James Wetter 和 Nicky Ringland 指出，超过 35000 个 Java 包、占总数 8% 以上的 Maven 中央存储库，尤其让我们对其留下的隐患感到担忧。 （来自： Google Security Blog ） 据悉，这些漏洞允许攻击者利用 Log4j 日志库已被广为人知的不安全 JNDI 查找功能来执行远程代码。糟糕的是，这项功能在许多版本中都被默认启用。 自 12 月 9 日披露以来，Log4j 漏洞因其严重性和广泛影响，而引起了信息安全生态系统的高度关注。毕竟作为一款流行的日志工具，它已被数以万计的软件包（Java 里的 Artifacts）和项目所使用。 由于用户对 Log4j 的传递依赖项缺乏足够的远见，这不仅使得我们很难确定零日漏洞的影响范围、相关修复工作也变得相当困难。 期间，Google 开源洞察团队调查了 Maven 中央存储库中的 Java 工件的所有版本，最终将范围缩小到了基于 JVM 语言的开源生态系统，同时密切追踪事态的发展。 截至 2021 年 12 月 16 日，该团队发现来自 Maven Central 的 35863 个可用 Java 工件，有依赖于受影响的 log4j 代码。 这意味着，仅 Maven Central 平台上超过 8% 的软件包，都至少有一个版本受此漏洞的影响。 若放眼整个生态系统，漏洞威力更是不容小觑（Maven Central 的平均影响为 2% / 中位数低于 0.1%）。 直接受影响的依赖项，约占这部分工件中的 7000 个，意味着它们的任何版本都被 Log4j-core 或 Log4j-api 所波及（完整列表可见 CVE 漏洞披露公告）。 此外大多数受影响的工件，都来自间接的依赖项，即它们是作为传递依赖项而被牵扯进来的。 至于当前开源 JVM 生态系统的修复进展，若工件中至少有一个版本受到了影响，且发布了一个不受漏洞波及的更稳定版本，谷歌开源洞察团队就将之视作已修复。 比如受 Log4j 漏洞影响的工件已更新到 2.16.0、或完全剔除了对 Log4j 的依赖。庆幸的是，Log4j 维护者和更广泛的开源社区对此问题的响应是相当迅速的，并且付出了切实的巨大努力。 截止博客发表时，团队统计到了将近 5000 个已被修复的项目。至于剩余的那 30000 个工件，其中许多依赖于另一个工件。在传递依赖被修复前，暂时只有一刀切来阻止。 对于 Java 生态系统来说，修复难度主要体现在工件的互相连接。首先，依赖链越深，漏洞修复所需的步骤就越繁杂（超过 80% 软件包的深度都超过了一级）。 其次，依赖算法和需求规范中的生态系统级选择约定，也为事件埋下了较大的伏笔。在 Java 生态系统中，开发者的通常做法是指定软件版本方面的“软”要求（假设没有其它版本的相同包出现在依赖关系图中）。 此类修复通常需要维护人员采取更加明确的行动，以将依赖需求更新为修补后的版本。这种做法与其它生态系统形成了鲜明的对比，例如在 npm 软件包上，开发者通常会为依赖项指定敞开的范围。 最后，对于整个生态系统需要耗费多少时间来完成漏洞修复，目前也很难评估。在查看了所有公开披露的影响 Maven 包的关键建议中，我们发现只有不到一半（48%）得到了修复。 不过在 Log4j 方面，事情还算是相当积极的。不到一周后，就有 4620 个受影响的工件（约 13%）得到了修复。剩下的工作，仍需全球开源维护者、信息安全团队和广大用户付出巨大的努力。 【来源：cnBeta.COM】
首批生态合作伙伴！太平洋网络宣布接入百度文心一言2月14日，太平洋网络有限公司（以下简称太平洋网络股票编号00543）宣布成为百度文心一言（英文名ERNIEBot）首批生态合作伙伴。后续，太平洋网络将全面体验并接入文心一言的能力我希望，2023年的打开方式是这样的所有过往，皆为序章。2022年，我们经历了无数的曲折变化，虽然疫情在过去一年中，多次按下流动的暂停键，但我们对ldquo科技智能rdquo的创新探索从未止步。新年的钟声即将敲响，虎星巴克首度联手英雄联盟合作会员星礼包，还能抽限定皮肤？1月10日起，星巴克中国将在全国限量发售ldquo星巴克英雄联盟手游合作会员星礼包rdquo，这也是星巴克中国首度携手游戏品牌合作。此次推出的会员星礼包除了内含一张星巴克星礼卡和一2022知乎年度数码（家电）榜单正式发布成为消费决策重要参考12月26日，知乎发布ldquo知乎2022年度数码（家电）榜单rdquo，盘点今年知乎站内高分热议的数码及家电设备，为用户提供真实无滤镜的消费决策参考同时，获得更专业的消费类专业找到科技中向上的力量！PConline2022智臻科技奖评选中科技颠覆想象，场景驱动创新。科技创新，似撬动生活品质的杠杆，总能创造令人意想不到的奇迹体验，让人类进入新的产品时代。2022年，元宇宙遇上世界杯带火了VR眼镜，开启了虚拟现实的ld2022世界设计之都大会数字广告与创意设计高峰论坛议程揭晓2022世界设计之都大会mdashmdash数字广告与创意设计高峰论坛将于9月16日在上海国家会展中心洲际酒店举行。本次论坛由上海市市场监督管理局上海市经济和信息化委员会上海市青浦2022MetaStyle元气宇宙杯桌搭大赛获奖名单公布时间滴答滴答的流逝，由PConline和ChinaJoy线上展联合举办的2022MetaStyle元气宇宙杯桌搭大赛，现活动已接近尾声。为彰显ldquo用心装点生活的每一个角落rdPConline玩家报道，2022ChinaJoy线上展活动精彩纷呈距离第一届ChinaJoy成功举办已经整整二十个年头，2004年那一年对于中国的整个游戏环境来说是具备划时代的意义，是因为这一年发生了太多事情，比如第一届ChinaJoy，第一届电相约MetaCJ元宇宙，PConline元气甄选好物评选盛典隆重举行2022ChinaJoy线上展（CJPlus）于MetaCJ元宇宙数字世界中火热举办中。此次ChinaJoy首次采取了电脑软件端作为载体，以线上交互游玩体验作为方式，并采用一种复古万元数码大奖等你拿！2022MetaStyle元气宇宙杯桌搭大赛火热进行中2022MetaStyle元气宇宙杯桌搭大赛获奖名单公布httpsnews。pconline。com。cn153715377686。html我对生活的热爱，都塞进了这一合空间里。桌ChinaJoy线上展于MetaCJ元宇宙数字世界举办，现在注册免费领MetaCJ纪念币！2022年ChinaJoy线上展（CJPlus）将于8月27日至9月2日在MetaCJ元宇宙数字世界中举办。MetaCJ元宇宙致力于线上数字世界的打造，线上会展是其重要功能之一，为