ゆめさくセキュリティ

2021年12月10日、ソフトウェア部品 (Java のログ出力ライブラリ)

Log4Shell (Apache Log4j の脆弱性)

入口

Log4j 2 の JNDI 機能が攻撃者の用意した LDAP などの接続先を防げず、ログに書かせた文字列から任意のコードを読み込んで実行させられた

決め手の失敗

広く使われる部品に重大な欠陥があり、どの製品や機器にその部品が入っているかを各組織がすぐに洗い出せなかった

被害

CVSS 3.x の基本値は 10.0 (CRITICAL)。CISA は広範な悪用に対応中と公表し、連邦機関に緊急指令 ED 22-02 を出した

防げた対策

  • ソフトウェア部品表 (SBOM)
  • 依存ライブラリの棚卸し
  • 外向き LDAP 通信の遮断
  • 脆弱性情報の監視と迅速な更新

時系列

  1. 2021年12月1日公開情報によるとこの頃から悪用が始まった (CISA の注意喚起による)
  2. 2021年12月6日修正版 Log4j 2.15.0 のリリース日 (Apache のリリースノートによる)
  3. 2021年12月10日CVE-2021-44228 が公開された。Apache が CNA として登録した脆弱性情報の公開日を本件の公表日とする。同日 CISA が悪用済み脆弱性の一覧に加えた
  4. 2021年12月13日2.15.0 の修正が不完全だったことによる CVE-2021-45046 が公開され、2.16.0 が出た
  5. 2021年12月17日CISA が緊急指令 ED 22-02 を出し、インターネットに面した脆弱な資産の即時修正を連邦機関に求めた
  6. 2021年12月23日CISA、FBI、NSA と英豪加新の機関が共同の注意喚起 AA21-356A を改訂。資産の洗い出しと隔離を求めた

攻撃した側について

特定の攻撃者による単一の事件ではなく、脆弱性の公開後に多数の攻撃者が悪用した。FBI は暗号資産の採掘やボットネットのマルウェアを入れる試みを観測したと当局が公表している

学べるレッスン

出典

2026年10月24日に開いて確かめました。