Log4jは、多くのJavaベースアプリケーションで使用されるログツールです。2021年12月、Apacheはリモートコード実行（RCE）の脆弱性を開示しました。この脆弱性では、ログ設定ファイルを変更する権限を持つ攻撃者が悪意のあるコードを構築・実行できます。Apacheによると、Log4j2バージョン2.0-beta7から2.17.0がRCE脆弱性の影響を受けます。NIST National Vulnerability Databaseは、この脆弱性に最高のCVSSスコアである10.0/10.0を割り当てました。この脆弱性を完全に緩和する唯一の方法は、Log4j 2.3.2（Java 6用）、2.12.4（Java 7用）、または2.17.1（Java 8以降用）にアップグレードすることです。
脅威アクターは、インターネットに公開されたシステム上でこの脆弱性を悪用し、ランサムウェアを展開しています。脆弱なエンドポイントのパッチ適用はタイムリーに行わなければなりません。以下に説明する緩和策は、チームがパッチ適用計画を策定・テストするための限られた時間を購入するものですが、長期的な解決策ではありません。
最大の課題は、脆弱なエンドポイントを特定することです。各部門は、それぞれのベンダーに問い合わせて、自社のアプリケーションやサービスが脆弱かどうかを判断する必要があります。脆弱なサービスの特定を支援するために、LogpressoはCVE-2021-44228スキャン用のコマンドラインツールです。
ネットワーク管理者は、境界のインターネットファイアウォールでSnortルールを有効にし、この脆弱性を悪用するインバウンド試行をブロックできます。これらのルールは、HTTPなどの暗号化されていない一般的なWebポートへのインバウンドインターネットトラフィックをブロックします。これらのルールは、HTTPSを実行しているサイトに対しては、トラフィックを境界インターネットファイアウォールで傍受・復号できないため、保護を提供しません。この脆弱性のエクスプロイトは非常に特異的であり、誤検知の可能性は非常に低いです。
情報セキュリティ基準U7に従い、すべてのエンドポイントにEDRソフトウェアが必要です。セキュリティオペレーション部門は、センサーが脆弱なエンドポイントの可視性を提供し、脅威アクターによる悪用を防止するため、最初にすべてのサーバーエンドポイントにEDRを導入することを推奨しています。
システム所有者は、CVE-2021-44228のパッチ適用についてベンダーと連携するために時間を必要とする場合があります。脆弱なサービスを持つシステム所有者は、アプリケーションセキュリティチームに連絡して、アプリケーションとインターネット間のWebトラフィックを保護するWAF（Webアプリケーションファイアウォール）シグネチャを構築できます。F5は、この脆弱性に関連するJNDIインジェクションシグネチャとして悪意のあるWebトラフィックを監視・フィルタリングします。
