「Log4Shell」緩和する「ホットパッチ」にホスト乗っ取りが可能となる脆弱性

脆弱性「Log4Shell」対策として「Amazon Web Services（AWS）」が提供した「ホットパッチ」に、コンテナ外へアクセスが可能となったり、権限の昇格が生じる脆弱性が含まれていることが明らかとなった。アップデートが提供されている。

「ホットパッチ」は、脆弱な「Apache Log4j」が稼働しつつも、すぐにアップデートできないユーザーを一時的に保護し、対処する時間などを確保できるよう現地時間2021年12月14日にリリースされた脆弱性の緩和プログラム。AWS環境以外にも適用できる。

インストールすると実行中のJVMプロセスにJavaエージェントを挿入。依存関係で含まれる場合やクラスパス上の複数インスタンスなども含め、実行中の「Javaアプリケーション」「Javaコンテナ」において「CVE-2021-44228」「CVE-2021-4504」の影響を自動的に緩和する機能を提供している。

「ホットパッチ」により「Log4Shell」を緩和できる一方、今回あらたに別の脆弱性「CVE-2021-3100」「CVE-2021-3101」「CVE-2022-0070」「CVE-2022-0071」が存在することが判明した。

脆弱性を発見、報告したPalo Alto Networksによれば、サーバやクラスタに同ツールをインストールしている場合、脆弱性を悪用することで基盤となるホストを乗っ取ることが可能だという。

（Security NEXT - 2022/04/22 ） ツイート

PR

関連記事

「FortiOS」の「SSL VPN」脆弱性に関するアドバイザリを更新
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
ロードバランサ「HAProxy」に脆弱性 - 同期破壊のおそれ
「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正
6月公表の「Splunk Enterprise」脆弱性、悪用を確認
FWやVPNの認証情報を攻撃者が大量保有 - 「FortiBleed」に要警戒
「nginx」に複数のクリティカル脆弱性 - 修正版が公開
「Splunk」向けのAI拡張ツールに複数の脆弱性
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件