Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Log4Shell」緩和する「ホットパッチ」にホスト乗っ取りが可能となる脆弱性

脆弱性「Log4Shell」対策として「Amazon Web Services(AWS)」が提供した「ホットパッチ」に、コンテナ外へアクセスが可能となったり、権限の昇格が生じる脆弱性が含まれていることが明らかとなった。アップデートが提供されている。

「ホットパッチ」は、脆弱な「Apache Log4j」が稼働しつつも、すぐにアップデートできないユーザーを一時的に保護し、対処する時間などを確保できるよう現地時間2021年12月14日にリリースされた脆弱性の緩和プログラム。AWS環境以外にも適用できる。

インストールすると実行中のJVMプロセスにJavaエージェントを挿入。依存関係で含まれる場合やクラスパス上の複数インスタンスなども含め、実行中の「Javaアプリケーション」「Javaコンテナ」において「CVE-2021-44228」「CVE-2021-4504」の影響を自動的に緩和する機能を提供している。

「ホットパッチ」により「Log4Shell」を緩和できる一方、今回あらたに別の脆弱性「CVE-2021-3100」「CVE-2021-3101」「CVE-2022-0070」「CVE-2022-0071」が存在することが判明した。

脆弱性を発見、報告したPalo Alto Networksによれば、サーバやクラスタに同ツールをインストールしている場合、脆弱性を悪用することで基盤となるホストを乗っ取ることが可能だという。

(Security NEXT - 2022/04/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

TP-Link製の一部ルータに深刻な脆弱性 - アップデート未提供
Oracle、「Java SE」や「Oracle GraalVM Enterprise Edition」の脆弱性を修正
「ManageEngine」の脆弱性、悪用が発生 - 侵害の有無についても確認を
オープンソースの仮想スイッチ「Open vSwitch」に複数脆弱性
Cisco製の小規模向け一部ルータに脆弱性、PoCも - EOLで修正予定なし
NVIDIA製メタバースツールキットに脆弱性 - アップデートで修正
「Apache HTTPD」にアップデート - 脆弱性3件を修正
Oracleが定例アップデート公開 -のべ327件の脆弱性を修正
「Firefox 109」、脆弱性10件を修正 - セキュリティ強化も
脆弱性8件を解消した「Firefox 108」がリリースに