「Log4Shell」緩和する「ホットパッチ」にホスト乗っ取りが可能となる脆弱性

具体的には、コンテナがクラスタ外にアクセスしたり、コンテナ以外の環境ではroot権限を取得してコードを実行できるとしており、ユーザーのネームスペースやroot以外の権限で実行されているコンテナなどからも悪用が可能だという。

Palo Altoでは2021年12月20日に脆弱性を発見。翌21日に報告を受けたAWSでは同月23日にコンポーネントを修正したが、対策の回避が可能であることが同月27日に判明。その後調整が行われていた。

AWSでは、4月19日にこれら脆弱性へ対処したホットパッチソリューションの最新版をリリース。利用者へアップデートするよう呼びかけている。

Palo Altoでもホットパッチのアップデートを推奨。現地時間12月17日にリリースされたAmazon Linuxにもパッチが自動で導入されることへ注意するよう求めた。

また「Log4Shell」は、今回明らかとなった脆弱性を凌ぐ大きな問題で攻撃も発生しており、優先して対処すべき脆弱性であることを強調しつつ、利用環境において「Log4Shell」への対策をすでに終えている場合は、今回明らかとなった脆弱性に対処するため、ホットパッチの無効化といった方法も示している。

（Security NEXT - 2022/04/22 ）ツイート