Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

GA版「Apache Log4j 2.16.0」がリリース - 脆弱性の原因機能を削除

オープンソースのログ記録ライブラリ「Apache Log4j」の開発チームは、最新版となる「Apache Log4j 2.16.0」を公開した。

同バージョンは、一般公開版(GA版)としてリリースされたもので、機能の追加や修正を実施した。別名「Log4Shell」としても知られる脆弱性「CVE-2021-44228」の悪用を防止するため、Lookup機能を完全に削除。また「JNDI」の機能をデフォルトで無効にした。

開発チームでは、12月6日にリリースした「同2.15.0」にて「Lookup」やログメッセージの解決機能を削除し、JNDIのアクセス方法について見直しを実施して脆弱性に対処したと説明。

脆弱性の影響を受けるバージョンは、「同2.14.1」および以前のバージョンとされたが、一方「同2.15.0-rc1」では対策をバイパスすることが可能で、引き続き脆弱性の影響を受けるとの指摘があり、最新となる「同2.15.0-rc2」を利用するよう呼びかけられていた。

(Security NEXT - 2021/12/14 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

米政府、悪用済み脆弱性リストに15件を追加
脆弱性を修正した「iOS 15.2.1」「iPadOS 15.2.1」を公開
消費者金融「プロミス」の利用者を狙ったフィッシングに注意
ドコモ、スミッシングを拒否設定 - 申込不要で自動設定
都営住宅の抽選番号通知ハガキが所在不明に - 東京都
サーバにSQLi攻撃、会員メアドが流出か - イシバシ楽器
キングジムのパスワード管理端末に脆弱性 -利用中止を
ランサム攻撃を受けたらどうする? JPCERT/CCが初動対応FAQを公開
Adobe、複数製品にセキュリティアップデート - 深刻な脆弱性を修正
「Citrix Workspace App for Linux」に権限昇格の脆弱性