Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog

2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software

[prograti]

思わぬところで依存関係を持ってたりして調査するのが大変でした... ネットの情報は参考程度に留めておいて自分でちゃんと調査した方が良いですね。

[rna]

1.xの件「第三者が設定ファイルを変更できる前提を考慮すると…直接不正なclassファイルを設置するだけでよい」リプによるとlog4j.propertiesをユーザー権限で変更可能なユースケースがあり、やはり脆弱性ではあるとのこと。

[satomi_hanten]

なんで規定でONなの・・・。何を想定して作ったのこれ・・・。

[taku-o]

今回のお祭りはちょっと楽しかったね。身近で、やりやすくて、影響範囲広くて。 / そっか。利用してるサービスのチェックがまだ終わってなかったわ。いやこれは良い資料ですわい

[kuzumimizuku]

2系はとにかく更新しよう……という感じだけど、1系でLookupや同等の（脆弱性を突ける）構成変更をして使ってるところ、多いならマズいなあ。（今1系を使ってるところは「更新できない」か「2系だと困る」かだろうし）

[w1234567]

自前のWebアプリ本体はすぐに調査出来るし対応出来るからいいんだけどミドルウェアや商用プロダクトの部分で地雷踏んでそうで怖い

[shiketanotsuna]

マイクラでのpocでちゃってるし無邪気な子ども同士が使って逮捕とか起きないかね。無邪気な子どもたちはアプデもしなかったりしなそうだし。

[kyousuke104]

対応に追われている人はご苦労さまだけど、たまにこういうものがある方が、セキュリティ意識が高まって、結果的にはいいかも。

[dorje2009]

感謝！記事にもある影響製品リスト（https://github.com/NCSC-NL/log4shell/tree/main/software）が膨大すぎてもう...

[zyzy]

分かり易くまとまってた。

[tailtame]

マイクラが一般レベルでは影響高いよなぁ…回避策起動推奨に…( ･`ω･´)

[nisisinjuku]

ログにコードを書き込み外部から通信を誘う。って仕組みか。

[yu_fuk]

CVE-2021-44228についてキレイにまとめられている。

[adsty]

悪意のある文字列をログに記録させると任意のリモートコードを実行できてしまう。

[Nan_Homewood]

まとめ、ありがとうございます。いつも助かってます。

[yamadamn]

id:masudatarou 今回の内容はOGNLには直接は関係ないJNDIルックアップですし、OGNLが脆弱性で問題になったのはStruts 2が主なので、"Java界隈"というのも主語が大きいと思います。同様の問題に見えるのは確かでしょうけど。

[shinobue679fbea]

Strutsのアレですよね

[buhoho]

ハッキングにあいましたみたいなニュースが、これからしばらく続きそうだな

[daishi_n]

きっとどこかの奥底のAPIとかJavaベースのSDKにlog4j仕込んでたらあちこち修正だからHeartbleedより大変かもよ

[yuno001]

Unixの考え方読んだことあるか？って感じ。古くからのOSS界隈の実装ってこんな感じなのかしら。

[kaiton]

常にセキュリティパッチを当てていればWAFなんていらないとも思っていたが、こういった場合はあったほうが安心と感じた。いまだに影響範囲が見えない。。けれど、WAFはかなり高価だな～

[teppeis]

まとめ来てた

[hdkINO33]

“なお、既に1.xはサポートが終了していることから今回の問題にかかわらず早々に2.xに移行することが推奨されている。”

[fashi]

javaを更新するかwaf入れるのが簡単そうだな

[taruhachi]

〇〇といったコードを記載するだけで攻撃が成立してしまう可能性があります。ってどっかのブログに書いたら巡り回ってどこかのシステムで本当に発火して犯罪者になってしまうレベルのヤバさだと思ってる。

[programmablekinoko]

攻撃も簡単ということは対策も簡単だからな（影響はデカイけど）。にしても見つかってなかったのが不思議なくらい

[cl-gaku]

Javaのバージョン上げてたから影響は思ったより小さく済んだ

[TrinityT]

5〜10年に一度レベルの脆弱性だな

[vanish_l2]

誰かガンダムで例えてくれよ

[shioki]

“影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software Foundationも脆弱性の深刻度を最高（Critical）と評価”

[hatomugicha]

やばいなあ

[lgx]

Log4j緊急脆弱性

[teramako]

v1.xへの影響皆無かと思ってたが、違うようだ。

[HHR]

いつもありがたや。