Log4Shell（CVE-2021-44228）— 調査レポート

2021年12月に公開されたApache Log4j 2の重大なリモートコード実行（RCE）脆弱性である Log4Shell に関する自己完結型の技術レポートです。根本原因の分析、攻撃チェーン全体、検出・緩和の指針、そして隔離されたローカルラボで実施したエンドツーエンドのエクスプロイト再現を、ターミナルおよびログの証拠とともに解説します。

ライブレポートを表示 →

---

内容

• 脆弱性の概要 — Log4Shellとは何か、なぜ壊滅的な影響を及ぼしたのか
• 技術分析 — JndiLookup.java における脆弱なコードパスと4ステップの攻撃フロー
• 概念実証（PoC） — 完全なウォークスルー：脆弱なDockerターゲット、悪意のあるLDAPリダイレクタ（marshalsec）、ペイロードクラス、トリガー
• ラボ検証 — 実際のローカル環境でのエクスプロイトチェーン再現のスクリーンショット（ターゲットのセットアップ、LDAP/HTTPサーバーログ、コード実行の確認）
• 開示のタイムライン — 発見から完全なパッチ適用までの主要な日付
• 検出と緩和 — ログベースの検出パターンと公式のJVM/バージョンベースの修正

技術 / ソース

• ターゲットアプリ： christophetd/log4shell-vulnerable-app（Log4j 2.14.1）
• JNDI/LDAPリダイレクタ： mbechler/marshalsec
• すべてのコンテンツは静的HTML/CSS — ビルドステップ不要、依存関係なし

ローカルでの実行

ブラウザでファイルを開くだけでOK — サーバーは不要です：

git clone https://github.com/sanasimran1403-jpg/log4shell-report-with-evidence.git
cd log4shell-report-with-evidence
open index.html   # or double-click it

免責事項

このレポートおよび付随するラボでの再現は、教育目的および許可を得たセキュリティ研究のみを対象としています。紹介されているすべてのエクスプロイトは、作者が管理する隔離されたローカルDocker環境内の、意図的に脆弱性を持たせたアプリケーションに対して実行されました。明示的な書面による許可なしにシステムをテストすることは、CFAA、英国のComputer Misuse Act、および同等の他国の法律に基づき違法です。

---

著者： Sana Simran — S&S Independent Security Research、2026