脆弱性「Log4Shell」にこれで対処 攻撃を防ぐために知っておきたい措置：TechTarget発 世界のITニュース

企業は引き続き、「Apache Log4j」の脆弱性「Log4Shell」を悪用した攻撃に注意する必要がある。自社の防御に役立つノウハウやツールは何か。

[Shaun Nichols，TechTarget]

　「Log4Shell」として知られる、Javaのログ出力ライブラリ「Apache Log4j」の脆弱（ぜいじゃく）性「CVE-2021-44228」。Log4Shellに関する情報が最初に開示されたのは、Apache Software Foundationがこの脆弱性の修正プログラムを公開した2021年12月6日（米国時間）だ。同日、開発者コミュニティー「GitHub」で匿名のユーザー「p0rz9」が、Log4Shellの脆弱性を証明するための概念実証コードを公開した。

　初めてLog4Shellを見つけ報告したのは、Alibabaのクラウドセキュリティエンジニア、チェン・ジャオジュン氏だ。ジャオジュン氏によれば、脆弱なサーバのログファイルへのアクセス権を持つ攻撃者は、チャットメッセージを送信するといった簡単な手口によって任意のコードを実行できる。

Log4Shellの猛烈な攻撃活動　自社を守るためのノウハウやツールとは？

併せて読みたいお薦め記事

「Apache」とはどのような仕組みか

• いまさら聞けない「Apache HTTP Server」と「Apache Tomcat」の違いとは？
• 「Apache HTTP Server」に脆弱性　専門家がパッチ適用を“強く推奨”の理由

　Log4Shellを悪用した攻撃の対象は、企業が使用する業務アプリケーションにとどまらず、一般消費者向けアプリケーションにも及ぶ。例えばMojang Studiosが手掛ける人気ゲーム「Minecraft」やValve Corporationのゲーム配信サービス「Steam」が、Log4Shellを悪用した攻撃の標的になった。セキュリティ専門家は、Log4Shellは報告される1週間ほど前から攻撃に使われていたとみている。

　企業はLog4Shellによる猛烈な攻撃活動を受け、セキュリティ対策の強化に追われている。Apache Log4jは多岐にわたる業務アプリケーションで使われており、企業にとってLog4Shellが潜むアプリケーションを特定するのは煩雑な作業だ。そのためLog4Shellに十分に対処できていない企業もある。

　セキュリティ専門家によれば、Log4Shellを悪用した攻撃は急速に拡大し、標的になった企業の大規模な被害につながりかねない。セキュリティベンダーBad Packetsの最高研究責任者（CRO）、トロイ・ムルシュ氏は「攻撃の中には、Webサイトの接続障害を引き起こすDDoS（Distributed Denial of Service attack）攻撃や、不正なコードの実行による情報流出といったものがある」と述べる。Log4Shellの悪用のしやすさから考えれば、当面の間、攻撃活動が続くとムルシュ氏はみている。

　一方でLog4Shellを悪用した攻撃に対処するためのノウハウやツールが登場している。企業はApache Log4jを最新版「Apache Log4j 2.16.0」に更新すれば、Log4Shellを排除できる。セキュリティベンダーCybereasonは、Log4Shellを自動修正するプログラムを開発したという。同社によると、このプログラムはワクチンのように、Log4Shell自体を使ってその脆弱性を無効にする仕組みだ。

　オープンソースのセキュリティベンダーLunaSecは2021年12月、Log4Shellの検出手順の解説を公開した。同社はLog4Shellの悪用を防ぐために、Webアプリケーションのファイアウォールに頼り過ぎないことや、ログ構文を更新しないことを推奨している。他にも、同社はLog4Shellを発見するための自動スキャンツールを無償で提供している。

TechTarget発　世界のITニュース

新製品・新サービスや調査結果、セキュリティインシデントなど、米国TechTargetが発信する世界のITニュースをタイムリーにお届けします。