Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

脆弱性対策ベンダーが「Log4Shell」を「最悪の脆弱性」と評価した理由

ログ記録ライブラリ「Apache Log4j」の深刻な脆弱性「Log4Shell」が判明した。容易にリモートよりコードを実行されるおそれがあり、影響が広がっている。

なかでも同脆弱性について、非常に強い表現を用いて警告を発したのが、脆弱性スキャナを展開し、多くの脆弱性を分析してきたTenableだった。同社は「Log4Shell」について判明当初より「過去10年間で最大かつもっとも重大な脆弱性」と表現している。

最上級の表現を用いており、不安をかき立てるこの刺激的な言い回しによって、逆に疑心暗鬼となる人もいるかもしれない。なぜこのような表現となったのか。その理由について同社を取材した。

Tenableのスタッフ・リサーチ・エンジニアを務めるSatnam Narang氏は、「最大」と表現した背景について、オープンソースの「Apache Log4j」がロギング目的で多くの製品やサービスに広く使われていることを挙げた。

開発者がアプリの情報を把握するのに役立つため広く利用されていることが、大きな「アタックサーフェース(攻撃対象領域)」を作り出していると指摘。脆弱性の悪用も簡単で、GitHubより概念実証コードを容易に入手できることも理由に付け加えた。

その一方で多くの企業が、自分たちが使っている製品やサービスに、「Apache Log4j」がどれだけ普及しているかを把握していないこともあり、脆弱性の影響が長期にわたる可能性もあるとの懸念を示している。

(Security NEXT - 2021/12/22 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「Node.js」にセキュリティアップデート - 複数脆弱性を修正
IvantiのVPN製品脆弱性、限定的な攻撃から多様な攻撃へと発展
米当局、「Cisco ASA」など悪用が確認された脆弱性4件について注意喚起
Windowsのゼロデイ脆弱性「CVE-2024-21412」、昨年12月下旬より悪用
「Exchange Server」の脆弱性、すでに悪用 - MSが2月のパッチ情報を更新
F5の「BIG-IP」や「NGINX」などに脆弱性 - アップデートを
一部SonicWall製ファイアウォールの「SSL VPN機能」に脆弱性 - 認証バイパスのおそれ
「BIND 9」に複数脆弱性 - 影響範囲広く緊急対応を
ビデオ会議サービス「Zoom」に脆弱性 - 重要度「クリティカル」も
Adobe、7製品に向けてセキュリティアップデートを公開