Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Log4Shell」緩和する「ホットパッチ」にホスト乗っ取りが可能となる脆弱性

脆弱性「Log4Shell」対策として「Amazon Web Services(AWS)」が提供した「ホットパッチ」に、コンテナ外へアクセスが可能となったり、権限の昇格が生じる脆弱性が含まれていることが明らかとなった。アップデートが提供されている。

「ホットパッチ」は、脆弱な「Apache Log4j」が稼働しつつも、すぐにアップデートできないユーザーを一時的に保護し、対処する時間などを確保できるよう現地時間2021年12月14日にリリースされた脆弱性の緩和プログラム。AWS環境以外にも適用できる。

インストールすると実行中のJVMプロセスにJavaエージェントを挿入。依存関係で含まれる場合やクラスパス上の複数インスタンスなども含め、実行中の「Javaアプリケーション」「Javaコンテナ」において「CVE-2021-44228」「CVE-2021-4504」の影響を自動的に緩和する機能を提供している。

「ホットパッチ」により「Log4Shell」を緩和できる一方、今回あらたに別の脆弱性「CVE-2021-3100」「CVE-2021-3101」「CVE-2022-0070」「CVE-2022-0071」が存在することが判明した。

脆弱性を発見、報告したPalo Alto Networksによれば、サーバやクラスタに同ツールをインストールしている場合、脆弱性を悪用することで基盤となるホストを乗っ取ることが可能だという。

(Security NEXT - 2022/04/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

Fortinet、アドバイザリ13件を公開 - 複数製品の脆弱性を修正
「Rust」によるWindowsバッチ処理に脆弱性 - アップデートが公開
Juniper Networks、セキュリティアドバイザリ36件を公開 - 「クリティカル」も
「PAN-OS」に関する脆弱性7件を修正 - Palo Alto Networks
「OpenSSL」にサービス拒否の脆弱性 - 次期更新で修正予定
「Node.js」にコマンドインジェクションの脆弱性 - Windows環境に影響
「Chrome」に3件の脆弱性 - アップデートが公開
ビデオ会議サービス「Zoom」のクライアントソフトに脆弱性
MS、4月の月例パッチで脆弱性147件に対応 - 1件は悪用済み
「WordPress 6.5.2」が公開 - XSS脆弱性を修正