投稿
  1. 谷达鸭首页
  2. 投稿

AWS代码检查服务可揪出Java、Python程序的Log4j漏洞

资安 • • 投稿

AWS更新代码检查服务Amazon Codeguru Reviewer，透过实地检查日志内容，协助侦测Java及Python程序中，是否含有影响Log4j函式库的Log4Shell以及其他类型的日志注入（log-injection）漏洞

AWS代码检查服务可揪出Java、Python程序的Log4j漏洞

去年年底揭露的Apache Log4j漏洞令全球企业恐慌，AWS本周宣布更新代码检查服务Amazon Codeguru Reviewer，方便开发人员检查Java及Python程序中的Log4j漏洞。

Amazon Codeguru Reviewer是AWS开发工具，可帮助开发人员检测代码的安全漏洞并提供建议。 2020年CodeGuru Reviewer推出Security Detector，可从Java与Python代码找出OWASP十大安全风险。 去年底又增加侦测代码和配置文件中机密资讯的功能AWS Secrets Manager。

而在这次更新中，AWS又为CodeGuru Reviewer新增2项功能。 首先是加入了侦测器，以辨识Java及Python代码中类似去年底震惊全球的Log4Shell的日志注入（log-injection）漏洞。

AWS代码检查服务可揪出Java、Python程序的Log4j漏洞

AWS 指出，这些传感器并不只针对Log4j库。 它不是检查开发人员使用的库版本，而是实地检查日志内容。 这样一来，即使未来有类似漏洞也能提早发现。

另一项功能则是新加入Java、Python侦测器库（Detector Library），提供CodeGuru Reviewer检查代码问题的侦测器详细说明，包括问题代码的描述、严重性及可能影响，以及提供代码示例。

AWS解释，每个侦测器都提供合规范及不合规范的程式码范例，例如跨来源资源共享（Cross-Origin Resource Sharing，CORS）或输入验证不当等。 但CodeGuru Reviewer使用机器学习及自动推论技术来辨识可能的问题，因此每个侦测器能找到范例以外的多种问题。 有些侦测器也可协助开发人员避免以AWS工具，如AWS SDK for Java 及 AWS SDK for Python开发时的问题，如密码凭证写死等。

最新功能已经在有Amazon CodeGuru服务地区上线。

赞 (0)
打赏 微信扫一扫 微信扫一扫
资安资安认证作者
0 0

相关推荐

发表评论

登录后才能评论