検索
特集/連載

脆弱性「Log4Shell」にこれで対処 攻撃を防ぐために知っておきたい措置TechTarget発 世界のITニュース

企業は引き続き、「Apache Log4j」の脆弱性「Log4Shell」を悪用した攻撃に注意する必要がある。自社の防御に役立つノウハウやツールは何か。

Share
Tweet
LINE
Hatena

関連キーワード

Apache | 脆弱性 | セキュリティ


 「Log4Shell」として知られる、Javaのログ出力ライブラリ「Apache Log4j」の脆弱(ぜいじゃく)性「CVE-2021-44228」。Log4Shellに関する情報が最初に開示されたのは、Apache Software Foundationがこの脆弱性の修正プログラムを公開した2021年12月6日(米国時間)だ。同日、開発者コミュニティー「GitHub」で匿名のユーザー「p0rz9」が、Log4Shellの脆弱性を証明するための概念実証コードを公開した。

 初めてLog4Shellを見つけ報告したのは、Alibabaのクラウドセキュリティエンジニア、チェン・ジャオジュン氏だ。ジャオジュン氏によれば、脆弱なサーバのログファイルへのアクセス権を持つ攻撃者は、チャットメッセージを送信するといった簡単な手口によって任意のコードを実行できる。

Log4Shellの猛烈な攻撃活動 自社を守るためのノウハウやツールとは?

 Log4Shellを悪用した攻撃の対象は、企業が使用する業務アプリケーションにとどまらず、一般消費者向けアプリケーションにも及ぶ。例えばMojang Studiosが手掛ける人気ゲーム「Minecraft」やValve Corporationのゲーム配信サービス「Steam」が、Log4Shellを悪用した攻撃の標的になった。セキュリティ専門家は、Log4Shellは報告される1週間ほど前から攻撃に使われていたとみている。

 企業はLog4Shellによる猛烈な攻撃活動を受け、セキュリティ対策の強化に追われている。Apache Log4jは多岐にわたる業務アプリケーションで使われており、企業にとってLog4Shellが潜むアプリケーションを特定するのは煩雑な作業だ。そのためLog4Shellに十分に対処できていない企業もある。

 セキュリティ専門家によれば、Log4Shellを悪用した攻撃は急速に拡大し、標的になった企業の大規模な被害につながりかねない。セキュリティベンダーBad Packetsの最高研究責任者(CRO)、トロイ・ムルシュ氏は「攻撃の中には、Webサイトの接続障害を引き起こすDDoS(Distributed Denial of Service attack)攻撃や、不正なコードの実行による情報流出といったものがある」と述べる。Log4Shellの悪用のしやすさから考えれば、当面の間、攻撃活動が続くとムルシュ氏はみている。

 一方でLog4Shellを悪用した攻撃に対処するためのノウハウやツールが登場している。企業はApache Log4jを最新版「Apache Log4j 2.16.0」に更新すれば、Log4Shellを排除できる。セキュリティベンダーCybereasonは、Log4Shellを自動修正するプログラムを開発したという。同社によると、このプログラムはワクチンのように、Log4Shell自体を使ってその脆弱性を無効にする仕組みだ。

 オープンソースのセキュリティベンダーLunaSecは2021年12月、Log4Shellの検出手順の解説を公開した。同社はLog4Shellの悪用を防ぐために、Webアプリケーションのファイアウォールに頼り過ぎないことや、ログ構文を更新しないことを推奨している。他にも、同社はLog4Shellを発見するための自動スキャンツールを無償で提供している。

TechTarget発 世界のITニュース

新製品・新サービスや調査結果、セキュリティインシデントなど、米国TechTargetが発信する世界のITニュースをタイムリーにお届けします。

Copyright © ITmedia, Inc. All Rights Reserved.

ページトップに戻る