Trusted DesignCVE-2021-44228 の詳細
CVEの情報
説明:
Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects.
CVE更新日: 2021-12-10 10:15:09.143000
CVSSバージョン: 3.1
CVSSスコア: 10.0
KEVの情報
KEV更新日: 2021-12-10
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.999990000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
Log4Shell (CVE-2021-44228) は、2021年12月に公表された、JavaベースのロギングライブラリであるApache Log4jに存在する極めて重大なゼロデイ脆弱性です。この脆弱性は、Log4jのJNDI (Java Naming and Directory Interface) Lookup機能における入力検証の不備に起因します。攻撃者は、特別に細工したログメッセージを送信するだけで、リモートから任意のコードを実行（RCE）できる可能性があります。
1.1 影響
Log4Shellの脆弱性を悪用されると、攻撃者は影響を受けるシステム上で任意のコードを実行し、アプリやデバイスを完全に制御できる可能性があります。これにより、データの窃取（データ窃盗）、ランサムウェアのインストール、ボットネット用のデバイスの乗っ取りなど、様々なサイバー攻撃が可能になります。 この脆弱性は、HTTPヘッダーやユーザー入力など、ユーザー制御のデータをログに記録する多くのロギング呼び出しで悪用されやすいため、悪意のある文字列を脆弱なWebアプリケーションに送信するだけで簡単に攻撃が成功する可能性があります。
1.2 深刻度
Log4Shellの脆弱性は、CVSS (Common Vulnerability Scoring System) スコアで最高値である10.0（Critical）に分類されています。これは、広範囲に影響を及ぼし、壊滅的な影響をもたらす可能性があるため、これまでで最も危険な脆弱性の1つと考えられています。
2. 対象となる環境
Log4Shellは、広く利用されているJavaベースのログライブラリであるApache Log4jの脆弱性であり、数億台のデバイスが影響を受ける可能性がありました。 この脆弱性は、無数のエンタープライズアプリケーション、フレームワーク、クラウドサービスで使用されているため、その影響範囲はエンタープライズグレードのクラウドアプリケーションから消費者向けIoTデバイスまで多岐にわたります。 具体的には、Apache Struts2、Apache Solr、Apache Druid、Apache Flink、Minecraft: Java Edition、VMware vCenter、Amazon Web Services、Cloudflare、iCloud、Steam、Tencent QQなどの多くの商用製品やサービスで利用されているApacheフレームワークが影響を受ける可能性があります。
2.1 影響を受けるOSバージョン
この脆弱性はOSのバージョンに直接依存するものではなく、Log4jライブラリを使用しているアプリケーションが稼働している環境が影響を受けます。 Java 6、7、8以降の各Java環境で動作するLog4jのバージョンが影響を受けます。
2.2 影響を受ける設定
影響を受けるLog4jのバージョンは以下の通りです。 * Apache Log4j 2.0-beta9 から 2.14.1 までの2系のバージョン * Log4j 1系のバージョンは、JMS Appenderが有効で特定の構成の場合に影響を受ける可能性があるとされていますが、通常はLookup機能が含まれていないため影響を受けないとされています。
脆弱性はLog4jのJNDI (Java Naming and Directory Interface) Lookup機能が悪用されることに起因します。この機能が有効になっていることが悪用の前提となります。
3. 影響を受けた時の兆候
Log4Shellの悪用が疑われる活動には以下のような兆候が考えられます。 * 不審なファイルやプロセスの存在。 * Log4jから出力されているログに、不審な文字列（例:
${jndi:ldap://を含むような細工された文字列）が含まれていないか。 * 攻撃者がリモートのLDAPサーバーから悪意のあるペイロードをダウンロードしようとするネットワークアクセス。 * DNSサーバーがプログラムからの接続を記録した場合、システムがさらなるLog4Shell悪用の試みに対して脆弱である可能性があります。 * 攻撃試行として、脆弱なLog4jライブラリを使用するアプリケーションにおいて、JNDI Lookupを行うための不正なHTTPリクエストが送信される。 * 不正なClassファイルが実行され、外部ホストとの通信が確立され、任意のシェルコマンドが実行される。4. 推奨対策
4.1 本対策
最も推奨される対策は、Apache Log4jを修正済みの最新バージョンへアップデートすることです。 * Java 8以降のユーザー: Log4j 2.17.1 (CVE-2021-44228、CVE-2021-45046、CVE-2021-45105、CVE-2021-44832を含む全ての関連脆弱性が修正済み) * Java 7のユーザー: Log4j 2.12.4 * Java 6のユーザー: Log4j 2.3.2
重要: 初期にリリースされた2.15.0や2.16.0へのアップデートだけでは不十分であり、これらのバージョンには別の関連脆弱性（CVE-2021-45046、CVE-2021-45105、CVE-2021-44832など）が存在するため、最終的に2.17.1以降へのアップデートが強く推奨されます。 Log4jを使用するアプリケーションやソフトウェアについても、各ベンダーから提供されるセキュリティアップデートを確認し、適用してください。
4.2 暫定回避策（緩和策）
直ちにアップデートが困難な場合、以下の暫定回避策を検討してください。 * JndiLookupクラスの削除: Log4j-core JARファイルから
JndiLookup.classを削除します。 *zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class* Log4j 2.10.0以降: システムプロパティまたは環境変数でlog4j2.formatMsgNoLookupsをtrueに設定します。 * ネットワークレベルでの防御: * Webアプリケーションファイアウォール (WAF) を導入し、悪意のあるJNDI Lookup文字列を含むリクエストをブロックするルールを設定する。 * LDAP、RMI、DNSなどの外部へのJNDI関連の通信を制限・ブロックする。 * JVMのホットパッチ: Java VMを更新し、JNDIクラスの読み込みを無効にするホットパッチを適用する。参照したサイト