Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

脆弱性検証ツール「OWASP ZAP」がアップデート - 「Log4Shell」の影響で

脆弱性検証ツール「OWASP ZAP」の開発チームは、脆弱性「Log4Shell」に対処したアップデートをリリースした。

同ツールはプロキシサーバとして動作し、ウェブアプリケーションの脆弱性を検証する際に活用されているオープンソースのセキュリティツール。OWASP(Open Web Application Security Project)より提供されている。

「同2.11.0」および以前のバージョンにおいて、別名「Log4Shell」としても知られる脆弱性「CVE-2021-44228」が存在するログ記録ライブラリ「Apache Log4j 2.14.1」を実装していたことから対処したもの。

開発チームでは、脆弱性が修正された「Apache Log4j」を実装した最新版「同2.11.1」をリリース。「OWASP ZAP」の全利用者に対して、できる限り早く最新版へアップデートするよう強く推奨している。

一方、旧バージョンにおいても通常は脆弱性が悪用する際に用いられる文字列をログに記録しないため、影響は限定的であると説明。「Apache Log4j」の設定を変更せず、「API」を信頼できないIPアドレスに公開していなければ、現段階で脆弱性の影響を受けないとの見方を示した。

すぐにアップデートできず、旧バージョンを利用せざるえない場合は、「API」を信頼できないアドレスに公開しないよう注意を喚起。信頼できるウェブサイトのテストを除き、デバッグログをオンにして実行しないことや、安全のためにログ機能をオフにするよう求めている。

(Security NEXT - 2021/12/15 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「Cisco ISE」の脆弱性、順次パッチ提供 - リリース後は悪用コードが利用可能に
狙われる顧客管理ツール「SugarCRM」の脆弱性 - 米政府も注意喚起
「スシロー」のAndroidアプリにパスワード漏洩のおそれ - アップデートを
「VMware vROps」にCSRFの脆弱性 - アップデートが公開
脅威情報共有プラットフォーム「MISP」に脆弱性 - パッチで修正
脆弱性スキャナ「Nessus」にセキュリティアップデート
「VMware vRealize Log Insight」の深刻な脆弱性、PoCが公開
コンテナ管理プラットフォーム「Rancher」に深刻な脆弱性
macOS向けアップデート - 複数脆弱性を修正
狙われる「Telerik UI for ASP.NET AJAX」の既知脆弱性