log4jの脆弱性を狙った攻撃が急増、毎分100件以上のペースで観測。新たな脆弱性発覚も
またさらに新たな脆弱性「CVE-2021-45046」に関しても発覚が報告されている。Log4jを提供するApacheソフトウェア財団(ASF)によれば、CVE-2021-44228に対処するための修正パッチが不完全であったことから、DoS攻撃を引き起こす可能性があるとしてLog4jをバージョン2.16.0以降にアップデートするように呼びかけている(GIGAZINE)。
米国土安全保障省(DHS)傘下のサイバーセキュリティインフラストラクチャ安全保障局(CISA)は14日、連邦政府機関に対し、この脆弱性の影響を受けるシステムに対し、12月24日までにパッチを適用するよう指示したとされる(CISA、ITmedia)。またこの問題に関しては国内メディアでも多く取り上げられるようになってきた(JPCERT/CC、NHK、日経新聞)。
しかし問題に気付かない組織がこれからもいると見られ、今回の脆弱性をきっかれにした問題は広範囲かつ長期にわたる問題になるとの指摘も出ている(WIRED)。なおこの脆弱性がリモートから任意のコードを実行可能になることから、それでパッチも当てられるのではと考え、必要なものをワクチンとして開発した企業が出てきているという。セキュリティベンダーCybereason社が作成したもので、プロジェクトの名前は「Logout4Shell」。ソースコードは「GitHub」でホストずみ。ただしいろんな意味で問題があることから、Cybereason社も、このコードを使った結果には「一切の責任を負わない」としているとのこと(Logout4Shell、窓の杜)。
すべて読む
| デベロッパーセクション
| セキュリティ
| Java
|
関連ストーリー:
Apache Log4j 2 で非常に深刻なリモートコード実行の脆弱性が見つかる
2021年12月11日