Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

脆弱性検証ツール「OWASP ZAP」がアップデート - 「Log4Shell」の影響で

脆弱性検証ツール「OWASP ZAP」の開発チームは、脆弱性「Log4Shell」に対処したアップデートをリリースした。

同ツールはプロキシサーバとして動作し、ウェブアプリケーションの脆弱性を検証する際に活用されているオープンソースのセキュリティツール。OWASP(Open Web Application Security Project)より提供されている。

「同2.11.0」および以前のバージョンにおいて、別名「Log4Shell」としても知られる脆弱性「CVE-2021-44228」が存在するログ記録ライブラリ「Apache Log4j 2.14.1」を実装していたことから対処したもの。

開発チームでは、脆弱性が修正された「Apache Log4j」を実装した最新版「同2.11.1」をリリース。「OWASP ZAP」の全利用者に対して、できる限り早く最新版へアップデートするよう強く推奨している。

一方、旧バージョンにおいても通常は脆弱性が悪用する際に用いられる文字列をログに記録しないため、影響は限定的であると説明。「Apache Log4j」の設定を変更せず、「API」を信頼できないIPアドレスに公開していなければ、現段階で脆弱性の影響を受けないとの見方を示した。

すぐにアップデートできず、旧バージョンを利用せざるえない場合は、「API」を信頼できないアドレスに公開しないよう注意を喚起。信頼できるウェブサイトのテストを除き、デバッグログをオンにして実行しないことや、安全のためにログ機能をオフにするよう求めている。

(Security NEXT - 2021/12/15 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「Deep Security」などトレンド2製品に脆弱性 - 実証コードが公開済み
DB管理ツール「phpMyAdmin」にアップデート - 脆弱性など解消
「McAfee Enterprise」のWindows向けエージェントに複数の脆弱性
「Microsoft Edge 97.0.1072.69」がリリースに - 一部独自修正も
「Drupal」に複数脆弱性 - サードパーティ製ライブラリに起因
F5がセキュリティアップデート - 脆弱性25件を修正
「Adobe Acrobat/Reader」のアップデートが公開 - 26件の脆弱性を解消
Google、深刻な脆弱性に対処した「Chrome 97.0.4692.99」をリリース
Oracle、四半期定例パッチをリリース - 約500件の脆弱性に対応
PHP向けメールフォームプログラムに脆弱性 - 昨年の更新で修正済み