脆弱性対策ベンダーが「Log4Shell」を「最悪の脆弱性」と評価した理由
ログ記録ライブラリ「Apache Log4j」の深刻な脆弱性「Log4Shell」が判明した。容易にリモートよりコードを実行されるおそれがあり、影響が広がっている。
なかでも同脆弱性について、非常に強い表現を用いて警告を発したのが、脆弱性スキャナを展開し、多くの脆弱性を分析してきたTenableだった。同社は「Log4Shell」について判明当初より「過去10年間で最大かつもっとも重大な脆弱性」と表現している。
最上級の表現を用いており、不安をかき立てるこの刺激的な言い回しによって、逆に疑心暗鬼となる人もいるかもしれない。なぜこのような表現となったのか。その理由について同社を取材した。
Tenableのスタッフ・リサーチ・エンジニアを務めるSatnam Narang氏は、「最大」と表現した背景について、オープンソースの「Apache Log4j」がロギング目的で多くの製品やサービスに広く使われていることを挙げた。
開発者がアプリの情報を把握するのに役立つため広く利用されていることが、大きな「アタックサーフェース(攻撃対象領域)」を作り出していると指摘。脆弱性の悪用も簡単で、GitHubより概念実証コードを容易に入手できることも理由に付け加えた。
その一方で多くの企業が、自分たちが使っている製品やサービスに、「Apache Log4j」がどれだけ普及しているかを把握していないこともあり、脆弱性の影響が長期にわたる可能性もあるとの懸念を示している。
(Security NEXT - 2021/12/22 )
ツイート
関連リンク
PR
関連記事
「JavaScript」のランタイム環境「Deno」に脆弱性
「Chrome」にセキュリティアップデート - 8件の修正を実施
IoT機器ファームウェアのOSS構成分析ツール - バイナリにも対応
「Telerik UI」の既知脆弱性、米政府で被害 - 脆弱性スキャナ導入も検知できず
狙われる「Telerik UI for ASP.NET AJAX」の既知脆弱性
Cisco製の小規模向け一部ルータに脆弱性、PoCも - EOLで修正予定なし
「Apache Sling Resource Merger」にサービス拒否の脆弱性
PDF生成に用いられるPHPライブラリに深刻な脆弱性
ビデオ会議「Zoom」のクライアントなどに脆弱性 - アップデートで修正
ArubaのNAC製品に深刻な脆弱性 - 任意のユーザーを作成可能に