「Log4Shell」の当初緩和策を否定 - 最新版への更新を

また開発チームは、これまでアナウンスしてきた「Log4Shell」の「緩和策」について、露出を制限するにとどまり、いくつかの攻撃ベクトルは排除できておらず、信頼のおけない「古い対策」であると見方を改めた。

具体的にはこれまで「log4j2.formatMsgNoLookups」の設定や、環境変数「LOG4J_FORMAT_MSG_NO_LOOKUPS」を「true」とする方法、「%m{nolookups}」「%msg{nolookups}」「%message{nolookups}」を用いたメッセージの「Lookup」機能を無効化するログ設定の変更などがアナウンスされてきたが、「Lookup」機能を利用するおそれがあるコードパスは依然として存在しており、対策としては不十分だという。

もっとも有効な対策は、最新版へのアップデートか、クラス「JndiLookup」の削除であると説明。利用者へ対策を求めている。