脆弱性対策ベンダーが「Log4Shell」を「最悪の脆弱性」と評価した理由

ログ記録ライブラリ「Apache Log4j」の深刻な脆弱性「Log4Shell」が判明した。容易にリモートよりコードを実行されるおそれがあり、影響が広がっている。

なかでも同脆弱性について、非常に強い表現を用いて警告を発したのが、脆弱性スキャナを展開し、多くの脆弱性を分析してきたTenableだった。同社は「Log4Shell」について判明当初より「過去10年間で最大かつもっとも重大な脆弱性」と表現している。

最上級の表現を用いており、不安をかき立てるこの刺激的な言い回しによって、逆に疑心暗鬼となる人もいるかもしれない。なぜこのような表現となったのか。その理由について同社を取材した。

Tenableのスタッフ・リサーチ・エンジニアを務めるSatnam Narang氏は、「最大」と表現した背景について、オープンソースの「Apache Log4j」がロギング目的で多くの製品やサービスに広く使われていることを挙げた。

開発者がアプリの情報を把握するのに役立つため広く利用されていることが、大きな「アタックサーフェース（攻撃対象領域）」を作り出していると指摘。脆弱性の悪用も簡単で、GitHubより概念実証コードを容易に入手できることも理由に付け加えた。

その一方で多くの企業が、自分たちが使っている製品やサービスに、「Apache Log4j」がどれだけ普及しているかを把握していないこともあり、脆弱性の影響が長期にわたる可能性もあるとの懸念を示している。

（Security NEXT - 2021/12/22 ）ツイート