史诗级漏洞爆发，Log4j 背后的开源人何去何从？_log4j-core 开源团队(4)

2401_84976607

于 2024-05-16 03:23:35 发布

阅读量951

点赞数 15

文章标签： c语言 c++ 学习

本文链接：https://blog.csdn.net/2401_84976607/article/details/138934485

版权

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

近年来，开源热潮席卷全球，纵观全球信息产业，更是呈现“得开源者得生态，得开源者得天下”的态势。在此趋势下，众多互联网企业争相拥抱开源，“开源”一词被推上了前所未有的高度。

然而，上周全球知名开源日志组件 Apache Log4j2 被曝严重高危漏洞的事件，撕开了“开源”光鲜亮丽的外表，将部分残忍的真实现状公诸于世：

无数开源项目维护者困于生存压力，只能在身兼全职工作的业余时间为了热爱与责任“用爱发电”、苦苦坚守，换来的却是项目出 Bug 时的无情抨击。

一、只有 3 个人赞助的 Apache Log4j2

上周，Apache Log4j2 被曝存在严重高危的远程代码执行漏洞，可以让网络攻击者无需密码就能访问网络服务器，阿里云、斗象科技、绿盟科技、默安科技、奇安信等众多安全厂商均对此发布危害通报，具体漏洞详情可见：《Flink等多组件受影响，Apache Log4j曝史诗级漏洞》

Apache Log4j2 这一漏洞触发简单、攻击难度低、影响人群广泛，被称为“史诗级”高危漏洞，服务器业务（Steam、iCloud、Minecraft 等）被严重影响，其中元宇宙概念游戏《我的世界》更是有数十万用户被入侵。尽管后续 Apache Log4j2 针对该漏洞给出了修复版本 log4j-2.15.0-rc2，但由于 Apache Log4j2 应用广泛，该漏洞几乎会严重影响所有将 Java 作为开发语言研发产品的安全性，因此漏洞发现以后，世界上很多程序员都在为此加班加点，甚至开始抨击为何 Apache Log4j2 的维护者们连这般危险的漏洞都没发现。
在这里插入图片描述
那这是为什么呢？据 Apache 软件基金会 Logging Services 的 PMC 成员 Volkan Yazıcı 在推特上给出的解释，此次漏洞是“为向后兼容保留的旧功能”而引发的：

“Log4j 维护者一直在为缓解措施而失眠；修复错误、文档和 CVE，还要回应他人的询问。即便如此，他们还要遭受许多严厉的批评乃至抨击——哪怕这份工作没有任何酬劳，哪怕这个为了向后兼容而保留的功能我们其实也不喜欢。”

在这里插入图片描述
Volkan Yazıcı 这个回应可谓“一石激起千层浪”，不仅是因为漏洞起源，更多的是因为他所说的“这份工作没有任何酬劳”：从此次 Apache Log4j2 漏洞的影响范围来看，将其看做打入互联网的“半壁江山”也不为过，这样一个使用广泛的开源项目，背后维护者没有得到赞助吗？

没有，几乎没有。从 Cryptogopher+Go 团队安全负责人 Filippo Valsorda 在推特上发布的截图来看，在本次事件发酵之前，赞助 Apache Log4j2 项目的只有 3 人——一个应用于整个互联网行业“半壁江山”的开源项目，只有 3 个人赞助。

在这里插入图片描述
不仅如此，据网络安全记者 Catalin Cimpanu 表示，Apache Log4j2 主要是由三名志愿者在他们的业余时间进行维护工作的。

在这里插入图片描述
对此，Filippo Valsorda 不禁发推呼吁：

“这就是修复了导致数百万美元损失的漏洞的维护者：‘我在业余时间维护 Log4j’、‘一直梦想全职做开源’、‘只有 3 个人在资助 Ralph Goers（Apache Log4j2 项目创始人）’。人们，我们正在做什么啊？”

在这里插入图片描述

所幸，截至发稿，项目赞助者已增至 63 人。

二、被“白嫖”的项目比比皆是

除了 Apache Log4j2，还有许多开源项目也陷于类似处境。

Babel

Babel 是一个用于 JavaScript 的通用多用途编译器，开发者通过 Babel 可以使用（或创建）下一代的 JavaScript 以及 JavaScript 工具，许多主要框架（React，Vue，Ember，Polymer）以及著名公司（Facebook，Netflix，Airbnb）都是 Babel 的用户。

可就是这样一个影响深远的开源项目，却依旧陷入了财务危机：今年 5 月 Babel 宣布，由于花钱速度持续高于获取捐赠的速度，Babel 已经陷入了财务困境，当前剩余的资金将很快被用完，该项目储备资金目前只够维持到 2021 年底。

Curl

今年 11 月，有用户向苹果请求更新 macOS 12 中与 Curl 有关的信息，结果苹果直接回复用户让他自行联系 Curl，并提供了 Curl 的帮助页面地址。

此事引发开源项目 Curl 创始人 Daniel Stenberg 极度不满，直接怼了一通：“想象一下，一家市值万亿美元的公司将各种开源组件组合在一起，每年可从中获利数十亿美元。当用户就其提供的产品寻求帮助的时候，这家公司反而将用户推给开源项目。这个开源项目是志愿者运营和维护的，而这家公司（苹果）从没有赞助过一分钱。”

需要明确的是，Daniel Stenberg 只是针对苹果利用 Curl 获利并将用户需求推给 Curl 的做法感到不满，他选择将 Curl 免费开源时也并非是为了挣钱，而是“曾在开源中受益匪浅，因此想通过开源的方式回馈给开源世界，让世界变得越来越美好。”