Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

脆弱性対策ベンダーが「Log4Shell」を「最悪の脆弱性」と評価した理由

ログ記録ライブラリ「Apache Log4j」の深刻な脆弱性「Log4Shell」が判明した。容易にリモートよりコードを実行されるおそれがあり、影響が広がっている。

なかでも同脆弱性について、非常に強い表現を用いて警告を発したのが、脆弱性スキャナを展開し、多くの脆弱性を分析してきたTenableだった。同社は「Log4Shell」について判明当初より「過去10年間で最大かつもっとも重大な脆弱性」と表現している。

最上級の表現を用いており、不安をかき立てるこの刺激的な言い回しによって、逆に疑心暗鬼となる人もいるかもしれない。なぜこのような表現となったのか。その理由について同社を取材した。

Tenableのスタッフ・リサーチ・エンジニアを務めるSatnam Narang氏は、「最大」と表現した背景について、オープンソースの「Apache Log4j」がロギング目的で多くの製品やサービスに広く使われていることを挙げた。

開発者がアプリの情報を把握するのに役立つため広く利用されていることが、大きな「アタックサーフェース(攻撃対象領域)」を作り出していると指摘。脆弱性の悪用も簡単で、GitHubより概念実証コードを容易に入手できることも理由に付け加えた。

その一方で多くの企業が、自分たちが使っている製品やサービスに、「Apache Log4j」がどれだけ普及しているかを把握していないこともあり、脆弱性の影響が長期にわたる可能性もあるとの懸念を示している。

(Security NEXT - 2021/12/22 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

メッセージ保護アプリ「TM SGNL」の複数脆弱性、悪用リストに追加
「NetScaler ADC」脆弱性、パッチ公開前から攻撃発生
「NetScaler ADC/Gateway」にゼロデイ脆弱性 - 早急に更新を
「Chrome」にゼロデイ脆弱性、アップデート公開 - 軽減策の実施も
特権コマンド実行ツール「sudo」に重要度「クリティカル」の脆弱性
「IBM WebSphere Application Server」にRCE脆弱性 - 暫定パッチ公開
「MS Edge」にアップデート - 固有の脆弱性などにも対処
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も
「Kibana」に深刻な脆弱性 - 「Chromium」の既知脆弱性に起因