概要
- Apache Log4j の JNDI 機能に関わるものです。
- 深刻度合いは？ CVSS で 10 点、最高スコアです。最上位のリスクレベルとされています。
詳細
CVE-2021-44228 (log4shell または log4jam とも): Log4j で見付かったリモートコード実行 (RCE) 脆弱性の影響は広範に及びます。汎用的プログラミング言語 JAVA に関わるもので、Spring / Struts / LogStash / Solr 等のメジャーなフレームワークでも内部的に使われているためです。
CVE-2021-44228 (log4shell) は、攻撃成立の条件が低く、開かれたネットワーク系のシステムでは特に危険です。2014 年の Heartbleed や Shell shock (Bashdoor) (* 英語) と並んで、歴史的に深刻な脆弱性の一つになると見なされ始めています。
Log4j を 2.15.0 へ更新することが強く推奨されています。
対応策
- log4j のバージョン を 2.15.0 (またはそれ以降) に更新することが、強く推奨されています。
次善の一時的な緩和策
なお、Log4j のアップデートが難しい場合、以下も検討できます:
- WAF を導入する。
- ver >= 2.10.0 の場合: JNDI lookup を無効化する (システム設定 log4j2.formatMsgNoLookups または 環境変数 LOG4J_FORMAT_MSG_NO_LOOKUPS)。
- 上記以外: JndiLookup をクラスパスから除外する。
本記事は小社のツイートをもとにしています。