[お知らせ] Apache Log4j 脆弱性 CVE-2021-44228 の影響を受ける Log4j Core

AhnLab は、Apache Log4j の脆弱性に対するセキュリティアップデートを推奨している。

最も深刻な(CVSS 10.0)脆弱性 CVE-2021-44228 は、直ちにセキュリティアップデートが必要である。運用中のシステムに脆弱な Log4j Core ライブラリがあるかどうか、確認が必要である。以下は CVE-2021-44228 脆弱性の影響を受ける Log4j-Core バージョン別のファイルリストである。各バージョン別ハッシュは Log4j ソースコードを個別の環境で直接ビルドした場合、異なる場合がある。

引用元 [1] https://archive.apache.org/dist/logging/log4j/
引用元 [2] https://repo1.maven.org/maven2/org/apache/logging/log4j/log4j-core/

Log4j は Java ベースの環境においてログを残すために使用される代表的なオープンソースのロギングライブラリであるため、ユーザー数が非常に多い。しかし、致命的なセキュリティの脆弱性があるにもかかわらず、ASEC 分析チームが顧客環境を調査したところによると、以下のようにセキュリティアップデートが適用されていない脆弱な Log4j Core を使用しているユーザー数が今でもかなり多い。これは、外部接続が可能なサーバー以外に、個人が使用しているアプリケーションまたはフレームワーク環境を含んでいる。

• C:\ghidra\Ghidra\Framework\Generic\lib\log4j-core-2.12.1.jar
• C:\Users\<ユーザー名>\AppData\Roaming\.minecraft\libraries\org\apache\logging\log4j\log4j-core\2.14.1\log4j-core-2.14.1.jar
• C:\eGovFrame-3.6.0\maven\repository\org\apache\logging\log4j\log4j-core\2.1\log4j-core-2.1.jar
• C:\Apache Software Foundation\Tomcat 8.5\webapps\ROOT_210928\WEB-INF\lib\log4j-core-2.8.2.jar
• D:\<*****>_erp_server\<***>ERP_<*****>\webapps\ROOT\WEB-INF\lib\log4j-core-2.10.0.jar
• C:\Users\USER\AppData\Local\MapTool\app\log4j-core-2.13.0.jar
• C:\<ユーザー名>\Teamcenter13\tccs\third_party\TcSS\TcSS13.3\jars\log4j-core-2.14.0.jar
• \\<個人サーバー>\..\..\..\…\<***>project\workspace\.metadata\.plugins\org.eclipse.wst.server.core\tmp0\wtpwebapps\<***>project\WEB-INF\lib\log4j-core-2.11.2.jar
• \Users\<ユーザー名>\eclipse-server\<*********>\WebContent\WEB-INF\lib\log4j-core-2.11.1.jar

ユーザーは使用しているアプリケーションまたはフレームワーク環境において脆弱な Log4j Core ライブラリが含まれているかを確認し、脆弱なバージョンが存在する場合は直ちにセキュリティアップデートを行わなければならない。

関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム「AhnLab TIP」サブスクリプションサービスを通して確認できる。