脆弱性「Log4Shell」にこれで対処　攻撃を防ぐために知っておきたい措置

企業は引き続き、「Apache Log4j」の脆弱性「Log4Shell」を悪用した攻撃に注意する必要がある。自社の防御に役立つノウハウやツールは何か。

公開 2022年02月04日 05時01分

著者

Shaun Nichols

[TechTarget]

印刷する連載新着通知を受け取る

　「Log4Shell」として知られる、Javaのログ出力ライブラリ「Apache Log4j」の脆弱（ぜいじゃく）性「CVE-2021-44228」。Log4Shellに関する情報が最初に開示されたのは、Apache Software Foundationがこの脆弱性の修正プログラムを公開した2021年12月6日（米国時間）だ。同日、開発者コミュニティー「GitHub」で匿名のユーザー「p0rz9」が、Log4Shellの脆弱性を証明するための概念実証コードを公開した。

　初めてLog4Shellを見つけ報告したのは、Alibabaのクラウドセキュリティエンジニア、チェン・ジャオジュン氏だ。ジャオジュン氏によれば、脆弱なサーバのログファイルへのアクセス権を持つ攻撃者は、チャットメッセージを送信するといった簡単な手口によって任意のコードを実行できる。

Log4Shellの猛烈な攻撃活動　自社を守るためのノウハウやツールとは？

併せて読みたいお薦め記事

「Apache」とはどのような仕組みか

　Log4Shellを悪用した攻撃の対象は、企業が使用する業務アプリケーションにとどまらず、一般消費者向けアプリケーションにも及ぶ。例えばMojang Studiosが手掛ける人気ゲーム「Minecraft」やValve Corporationのゲーム配信サービス「Steam」が、Log4Shellを悪用した攻撃の標的になった。セキュリティ専門家は、Log4Shellは報告される1週間ほど前から攻撃に使われていたとみている。

　企業はLog4Shellによる猛烈な攻撃活動を受け、セキュリティ対策の強化に追われている。Apache Log4jは多岐にわたる業務アプリケーションで使われており、企業にとってLog4Shellが潜むアプリケーションを特定するのは煩雑な作業だ。そのためLog4Shellに十分に対処できていない企業もある。

　セキュリティ専門家によれば、Log4Shellを悪用した攻撃は急速に拡大し、標的になった企業の大規模な被害につながりかねない。セキュリティベンダーBad Packetsの最高研究責任者（CRO）、トロイ・ムルシュ氏は「攻撃の中には、Webサイトの接続障害を引き起こすDDoS（Distributed Denial of Service attack）攻撃や、不正なコードの実行による情報流出といったものがある」と述べる。Log4Shellの悪用のしやすさから考えれば、当面の間、攻撃活動が続くとムルシュ氏はみている。

　一方でLog4Shellを悪用した攻撃に対処するためのノウハウやツールが登場している。企業はApache Log4jを最新版「Apache Log4j 2.16.0」に更新すれば、Log4Shellを排除できる。セキュリティベンダーCybereasonは、Log4Shellを自動修正するプログラムを開発したという。同社によると、このプログラムはワクチンのように、Log4Shell自体を使ってその脆弱性を無効にする仕組みだ。

　オープンソースのセキュリティベンダーLunaSecは2021年12月、Log4Shellの検出手順の解説を公開した。同社はLog4Shellの悪用を防ぐために、Webアプリケーションのファイアウォールに頼り過ぎないことや、ログ構文を更新しないことを推奨している。他にも、同社はLog4Shellを発見するための自動スキャンツールを無償で提供している。

TechTarget発　世界のITニュース

新製品・新サービスや調査結果、セキュリティインシデントなど、米国TechTargetが発信する世界のITニュースをタイムリーにお届けします。

印刷する

TechTarget発　世界のITニュース

新製品・新サービスや調査結果、セキュリティインシデントなど、米国TechTargetが発信する世界のITニュースをタイムリーにお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Shaun Nichols

15年以上にわたる記者経験を持ち、まだスマートフォンがなかった時代から企業向けIT市場を取材してきた。組み込みシステム開発やスーパーコンピュータなど幅広い分野をカバー。米TechTargetの記事を執筆する傍ら、米エネルギー省（DOE）の研究所であるLawrence Berkeley National Laboratory（ローレンス・バークレー国立研究所）の出版物や企業IT情報サイト「The Register」にも寄稿している。サンフランシスコのベイエリアに住み、趣味は料理、ガーデニング、ビデオゲーム、スポーツ観戦。NFL（ナショナルフットボールリーグ）チーム「San Francisco 49ers」やMLB（メジャーリーグベースボール）チーム「San Francisco Giants」の大ファンだと自称する。