脆弱性検証ツール「OWASP ZAP」がアップデート - 「Log4Shell」の影響で

脆弱性検証ツール「OWASP ZAP」の開発チームは、脆弱性「Log4Shell」に対処したアップデートをリリースした。

同ツールはプロキシサーバとして動作し、ウェブアプリケーションの脆弱性を検証する際に活用されているオープンソースのセキュリティツール。OWASP（Open Web Application Security Project）より提供されている。

「同2.11.0」および以前のバージョンにおいて、別名「Log4Shell」としても知られる脆弱性「CVE-2021-44228」が存在するログ記録ライブラリ「Apache Log4j 2.14.1」を実装していたことから対処したもの。

開発チームでは、脆弱性が修正された「Apache Log4j」を実装した最新版「同2.11.1」をリリース。「OWASP ZAP」の全利用者に対して、できる限り早く最新版へアップデートするよう強く推奨している。

一方、旧バージョンにおいても通常は脆弱性が悪用する際に用いられる文字列をログに記録しないため、影響は限定的であると説明。「Apache Log4j」の設定を変更せず、「API」を信頼できないIPアドレスに公開していなければ、現段階で脆弱性の影響を受けないとの見方を示した。

すぐにアップデートできず、旧バージョンを利用せざるえない場合は、「API」を信頼できないアドレスに公開しないよう注意を喚起。信頼できるウェブサイトのテストを除き、デバッグログをオンにして実行しないことや、安全のためにログ機能をオフにするよう求めている。

（Security NEXT - 2021/12/15 ）ツイート