脆弱性「Log4Shell」にこれで対処 攻撃を防ぐために知っておきたい措置TechTarget発 世界のITニュース

企業は引き続き、「Apache Log4j」の脆弱性「Log4Shell」を悪用した攻撃に注意する必要がある。自社の防御に役立つノウハウやツールは何か。

2022年02月04日 05時00分 公開
[Shaun NicholsTechTarget]

関連キーワード

Apache | 脆弱性 | セキュリティ


 「Log4Shell」として知られる、Javaのログ出力ライブラリ「Apache Log4j」の脆弱(ぜいじゃく)性「CVE-2021-44228」。Log4Shellに関する情報が最初に開示されたのは、Apache Software Foundationがこの脆弱性の修正プログラムを公開した2021年12月6日(米国時間)だ。同日、開発者コミュニティー「GitHub」で匿名のユーザー「p0rz9」が、Log4Shellの脆弱性を証明するための概念実証コードを公開した。

 初めてLog4Shellを見つけ報告したのは、Alibabaのクラウドセキュリティエンジニア、チェン・ジャオジュン氏だ。ジャオジュン氏によれば、脆弱なサーバのログファイルへのアクセス権を持つ攻撃者は、チャットメッセージを送信するといった簡単な手口によって任意のコードを実行できる。

Log4Shellの猛烈な攻撃活動 自社を守るためのノウハウやツールとは?

 Log4Shellを悪用した攻撃の対象は、企業が使用する業務アプリケーションにとどまらず、一般消費者向けアプリケーションにも及ぶ。例えばMojang Studiosが手掛ける人気ゲーム「Minecraft」やValve Corporationのゲーム配信サービス「Steam」が、Log4Shellを悪用した攻撃の標的になった。セキュリティ専門家は、Log4Shellは報告される1週間ほど前から攻撃に使われていたとみている。

 企業はLog4Shellによる猛烈な攻撃活動を受け、セキュリティ対策の強化に追われている。Apache Log4jは多岐にわたる業務アプリケーションで使われており、企業にとってLog4Shellが潜むアプリケーションを特定するのは煩雑な作業だ。そのためLog4Shellに十分に対処できていない企業もある。

 セキュリティ専門家によれば、Log4Shellを悪用した攻撃は急速に拡大し、標的になった企業の大規模な被害につながりかねない。セキュリティベンダーBad Packetsの最高研究責任者(CRO)、トロイ・ムルシュ氏は「攻撃の中には、Webサイトの接続障害を引き起こすDDoS(Distributed Denial of Service attack)攻撃や、不正なコードの実行による情報流出といったものがある」と述べる。Log4Shellの悪用のしやすさから考えれば、当面の間、攻撃活動が続くとムルシュ氏はみている。

 一方でLog4Shellを悪用した攻撃に対処するためのノウハウやツールが登場している。企業はApache Log4jを最新版「Apache Log4j 2.16.0」に更新すれば、Log4Shellを排除できる。セキュリティベンダーCybereasonは、Log4Shellを自動修正するプログラムを開発したという。同社によると、このプログラムはワクチンのように、Log4Shell自体を使ってその脆弱性を無効にする仕組みだ。

 オープンソースのセキュリティベンダーLunaSecは2021年12月、Log4Shellの検出手順の解説を公開した。同社はLog4Shellの悪用を防ぐために、Webアプリケーションのファイアウォールに頼り過ぎないことや、ログ構文を更新しないことを推奨している。他にも、同社はLog4Shellを発見するための自動スキャンツールを無償で提供している。

TechTarget発 世界のITニュース

新製品・新サービスや調査結果、セキュリティインシデントなど、米国TechTargetが発信する世界のITニュースをタイムリーにお届けします。

Copyright © ITmedia, Inc. All Rights Reserved.

From Informa TechTarget

お知らせ
米国TechTarget Inc.とInforma Techデジタル事業が業務提携したことが発表されました。TechTargetジャパンは従来どおり、アイティメディア(株)が運営を継続します。これからも日本企業のIT選定に役立つ情報を提供してまいります。

ITmedia マーケティング新着記事

news083.jpg

【保存版】2025年のSNSはこうなる(無料eBook)
AIの進化や政治の激動がSNSを大きく変えつつあります。ソーシャルエンゲージメントを促進...

news032.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年2月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...

news114.jpg

XがAIチャットbot「Grok」に新機能を追加 OpenAIやGoogle、Metaとの競争の行方は?
Xが、AIチャットbot「Grok」に自分のプロフィール情報を伝えられる新たな機能追加を実施...