多位网络安全专家现已发布免费运用的扫描程序，以协助安排查找易受攻击的 Log4j 实例。

  例如，网络安全和基础设施安全局 (CISA)在 GitHub 上发布了一个 Log4j 扫描器，它依据安全公司 FullHunt 构建的从前版别。

  Crowdstrike 的网络安全专家也发布了一款名为 CAST 的相似扫描仪。

  安全公司 Rezilion 的研讨主管 Yotam Perkal 剖析了这些东西并在博客文章中发布了成果。依据 Perkal 的说法，许多扫描程序错过了该缝隙的某些版别。

  “最大的应战在于在出产环境中检测打包软件中的 Log4Shell：Java 文件（例如 Log4j）可以嵌套在其他文件的几层深处——这在某种程度上预示着对文件的浅层查找不会找到它，”写道珀卡尔。“此外，它们或许以多种不同的格局打包，这对在其他 Java 包中发掘它们造成了真实的应战。”

  Perkal 一共测验了 9 个扫描器，尽管其间一些扫描器的功能优于其他扫描器，但没有一个可以辨认一切易受攻击的 Log4j 布置。

  “这也提示咱们，查验测验才能取决于您的检测的新方法。扫描仪有盲点，”Perkal 总结道。“安全领导者不能盲目地假定各种开源乃至商业级东西都可以检测到每一个边际状况。而在 Log4j 的状况下，许多当地都有许多边际实例。”

  Log4j 是一个 Java 记录器，最近发现它存在一个严峻缺点，它或许答应歹意行为者（即使是那些技术很少的人）在数百万个端点上运转恣意代码，并推出歹意软件、勒索软件和加密矿工。

  进一步查询发现，被称为该缺点的 Log4Shell 是近代历史上最严峻的安全缝隙之一。CISA 主任 Jen Easterly 将其描绘为她在整个职业生涯中所见过的“最严峻的事情之一”，“若不是最严峻的”。

  到目前为止，Apache自发现该缝隙以来现已为Log4j至少发布了三个补丁，并敦促用户当即更新。