Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

脆弱性対策ベンダーが「Log4Shell」を「最悪の脆弱性」と評価した理由

ログ記録ライブラリ「Apache Log4j」の深刻な脆弱性「Log4Shell」が判明した。容易にリモートよりコードを実行されるおそれがあり、影響が広がっている。

なかでも同脆弱性について、非常に強い表現を用いて警告を発したのが、脆弱性スキャナを展開し、多くの脆弱性を分析してきたTenableだった。同社は「Log4Shell」について判明当初より「過去10年間で最大かつもっとも重大な脆弱性」と表現している。

最上級の表現を用いており、不安をかき立てるこの刺激的な言い回しによって、逆に疑心暗鬼となる人もいるかもしれない。なぜこのような表現となったのか。その理由について同社を取材した。

Tenableのスタッフ・リサーチ・エンジニアを務めるSatnam Narang氏は、「最大」と表現した背景について、オープンソースの「Apache Log4j」がロギング目的で多くの製品やサービスに広く使われていることを挙げた。

開発者がアプリの情報を把握するのに役立つため広く利用されていることが、大きな「アタックサーフェース(攻撃対象領域)」を作り出していると指摘。脆弱性の悪用も簡単で、GitHubより概念実証コードを容易に入手できることも理由に付け加えた。

その一方で多くの企業が、自分たちが使っている製品やサービスに、「Apache Log4j」がどれだけ普及しているかを把握していないこともあり、脆弱性の影響が長期にわたる可能性もあるとの懸念を示している。

(Security NEXT - 2021/12/22 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

ImpervaのクラウドWAFにルール回避のおそれ - すでに修正済み
SonicWall製VPN製品の脆弱性を狙った攻撃が発生 - 早急に更新を
「Deep Security」などトレンド2製品に脆弱性 - 実証コードが公開済み
DB管理ツール「phpMyAdmin」にアップデート - 脆弱性など解消
「McAfee Enterprise」のWindows向けエージェントに複数の脆弱性
「Microsoft Edge 97.0.1072.69」がリリースに - 一部独自修正も
「Drupal」に複数脆弱性 - サードパーティ製ライブラリに起因
F5がセキュリティアップデート - 脆弱性25件を修正
「Adobe Acrobat/Reader」のアップデートが公開 - 26件の脆弱性を解消
Google、深刻な脆弱性に対処した「Chrome 97.0.4692.99」をリリース