Log4j CVE-2021-44228

解決策

Log4j2 Core が本当に必要かどうか考えてみてください。多くの場合、あなた自身のコード（または依存しているサードパーティ製ライブラリ）は、Log4j の Logging API ファサードのみを必要とし、ログは別のバックエンドに出力できます。したがって、org.apache.logging.log4j:log4j-core 依存関係を完全に除外するだけで済みます。

利用可能ないくつかの「ロギング API ブリッジ」のいずれかを使用して、log4j-api を（単独で）別のロギング実装バックエンドに接続します:

1. log4j-to-slf4j を使用した Log4j2-SLF4j-Logback

2. Log4j2-to-JUL は、私が LOG4J2-3282 を元に作成したもので、https://github.com/vorburger/Learning-Log4j2 に例が示されています。

これは、あなた自身またはクラウドプロバイダーが、それぞれのバックエンド向けの既存インフラストラクチャを持っている場合に特に意味があります:

• Google Cloud Logging Logback Appender は、GitHub も参照。さらに Spring Framework 統合 もあります。

背景

• https://logging.apache.org/log4j/2.x/security.html
• https://github.com/advisories/GHSA-jfh8-c2jp-5v3q
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228

検出とスキャン、攻撃対象領域

• https://github.com/github/codeql/pull/7354
• https://github.com/google/tsunami-security-scanner-plugins/issues/219
• https://github.com/YfryTchsGD/Log4jAttackSurface（[Memes](https://github.com/YfryTchsGD/Log4jAttackSurface/blob/master/pages/MEME.md) 付き）

緩和策

• https://github.com/apache/logging-log4j2/pull/608
• https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot
• https://community.openhab.org/t/openhab-and-the-log4j-security-vulnerability/129901
• https://github.com/vorburger/MariaDB4j/issues/509

エクスプロイト

• https://www.lunasec.io/docs/blog/log4j-zero-day/#exploit-steps