Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Log4Shell」緩和する「ホットパッチ」にホスト乗っ取りが可能となる脆弱性

脆弱性「Log4Shell」対策として「Amazon Web Services(AWS)」が提供した「ホットパッチ」に、コンテナ外へアクセスが可能となったり、権限の昇格が生じる脆弱性が含まれていることが明らかとなった。アップデートが提供されている。

「ホットパッチ」は、脆弱な「Apache Log4j」が稼働しつつも、すぐにアップデートできないユーザーを一時的に保護し、対処する時間などを確保できるよう現地時間2021年12月14日にリリースされた脆弱性の緩和プログラム。AWS環境以外にも適用できる。

インストールすると実行中のJVMプロセスにJavaエージェントを挿入。依存関係で含まれる場合やクラスパス上の複数インスタンスなども含め、実行中の「Javaアプリケーション」「Javaコンテナ」において「CVE-2021-44228」「CVE-2021-4504」の影響を自動的に緩和する機能を提供している。

「ホットパッチ」により「Log4Shell」を緩和できる一方、今回あらたに別の脆弱性「CVE-2021-3100」「CVE-2021-3101」「CVE-2022-0070」「CVE-2022-0071」が存在することが判明した。

脆弱性を発見、報告したPalo Alto Networksによれば、サーバやクラスタに同ツールをインストールしている場合、脆弱性を悪用することで基盤となるホストを乗っ取ることが可能だという。

(Security NEXT - 2022/04/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Microsoft Edge」にアップデート - 脆弱性4件を解消
「WebAssembly」のランタイム「Wasmi」に脆弱性
「GarageBand」にセキュリティアップデート - 脆弱性1件を修正
「JSONata」にプロトライプ汚染の脆弱性 - アップデートにて修正
「WordPress」向けのマルウェア対策やWAFプラグインに脆弱性 - 公開中止に
Cisco、「IOS XR」に関するセキュリティアドバイザリ7件を公開
「Apache Tomcat」に脆弱性、2月の更新で修正済み - 「同8.5」系統は3月末にEOL
Palo Altoの「PAN-OS」や「GlobalProtect App」に脆弱性
バックアップ製品「Arcserve UDP」に脆弱性 - 影響大きくPoCも公開
ファイル転送製品「FileCatalyst」に深刻な脆弱性 - 2023年8月の更新で修正