「Log4j」に新たな脆弱性、深刻度は「High」　バージョン2.17.0へのアップデートを呼び掛け

　The Apache Software Foundation（ASF）は12月17日（現地時間）、Java環境向けログ出力ライブラリ「Log4j 2」のバージョン2.17.0の配布を始めた。新たにDoS（サービス拒否）攻撃できる脆弱性が見つかったため。脆弱性があるのは2.16.0までの2系バージョン。

ASFが公開したバージョン2.17.0

　この脆弱性に割り振られたCVE番号は「CVE-2021-45105」で、深刻度は「High」。CVSS（共通脆弱性評価システム）スコアは7.5。デフォルト以外の設定でログ出力を構成している場合、「Lookup」機能で再帰的に自己参照できてしまう恐れがあるという。その結果としてスタックオーバーフローによるプロセスの終了を引き起こすとしている。ASFは2.17.0へのバージョンアップとともに、影響を軽減するためのログ構成も案内している。

　Log4jを巡っては、ログに含まれた任意のコードを実行し、外部からプログラムを読み込むという脆弱性が発覚。影響の範囲が広いことから、国内でもJPCERT/CCが対応をアナウンスしている他、警察庁が攻撃のモニタリングを始めており、既に攻撃が始まっているという。

印刷する

SNSでシェア

関連記事

• 

  「Log4j」のトラブルってどうヤバいの？　非エンジニアにも分かるように副編集長に解説させた

• 

  Log4j、バージョン2.16.0が登場　問題の機能を削除やデフォルト無効に

• 

  世界のWebサーバの3分の1に影響？　Javaライブラリ「Log4j」の脆弱性、JPCERTらが仕組みと対策を解説

• 

  「Log4j」脆弱性、中国や北朝鮮発の悪用をMicrosoftが確認

• 

  「Log4j」脆弱性の攻撃数、警察庁がリアルタイム公開

こんなメディアも見られています

ITmedia NEWSに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。

企業ITのトレンドを詳説

ITmedia エンタープライズ

企業ITのトレンドを詳説

エネルギーの専門メディア

建設×テクノロジーの最前線

BUILT

ビジネスと働き方のヒント

ITmedia ビジネスオンライン