[対策あり]Apache Log4jで新たな脆弱性!一定の条件でDoS攻撃が可能に（CVE-2021-45105）

サーバー

Apache Log4j 2.16.0でLog4Shellの脆弱性（CVE-2021-45046）が完全に修正されず、一定の条件下でDoS攻撃が可能だったことが明らかになりました。この脆弱性にはApache Log4j 2.17.0（最新バージョン）へのアップデートで対応可能です。

（2021/12/21）Apache Log4jのバージョンを確認するを追加

4つ目の脆弱性が発見（CVE-2021-44832）

▼以下の記事を参照してください。

アーザスBlog
 
https://a-zs.net/apache_log4j_vulnerability_4
2022.01.06
[対策あり]Apache Log4jに一定の条件でリモートコード実行の脆弱性(CVE-2021-44832)
2021年12月28日(米国時間)、Apache Log4j 2.16.0で確認されたLog4Shellの脆弱性の修正が完全に修正されず、新たにリモートコード実行の脆弱性(CVE-2021-44832)があることが明らかになりました。この脆弱性はLog4j 2.17.1(Java 8)、2.12.4(Java 7)、および2.3.2(Java 6)にアップデートすることで対策可能です。情報ソースLog4j – Apache Log4j Security VulnerabilitiesNVD - CVE-2021-44832脆弱性の詳細攻撃者がロギング構成ファイルを変更する権限を持った場合、データベースにログを保存する機能「Log4j JDBCAppender」を利用し、悪...

情報ソース

NVD-CVE-2021-45105|NVD
Apache Log4j Security Vulnerabilities｜Log4j

脆弱性の詳細

アーザスBlog
 
https://a-zs.net/apache_log4j_vulnerability_2
2021.12.17
[対策あり]Apache Log4jでDoS攻撃可能な脆弱性（CVE-2021-45046）
Log4Shellに新たな脆弱性（CVE-2021-45046）が発見され、DoS攻撃が引き起こされる可能性があったことが明らかになりました。この脆弱性にはApache Log4j 2.16.0（最新バージョン）にアップデートすることで対応可能です。（2021/12/21）Apache Log4jのバージョンを確認するを追加（2021/12/20更新）3つ目の脆弱性が発見（CVE-2021-45105）を追加情報ソースCVE-2021-45046|NVDApache Log4j Security Vulnerabilities｜Log4j 4つ目の脆弱性が発見（CVE-2021-44832）▼以下の記事を参照してください。3つ目の脆弱性が発見（CVE-2021-45105...

Apache Log4jでDoS攻撃可能な脆弱性（CVE-2021-45046）がApache Log4j 2.16.0で完全に修正されず一定の条件下でDoS攻撃が可能であることが明らかになりました。

ログ設定でコンテキストルックアップを含むデフォルト以外のパターンレイアウトを使用している場合、攻撃者がLookup機能の再帰的な処理を無限に行う入力データを作成し、結果的にDoS攻撃を引き起こす可能性があります。

CVE-2021-45105はlog4j-core.jarファイルを使用しているサーバーが対象です。log4j-api.jarを使用している場合の影響はありません。

対策

解決方法

Apache Log4jのバージョンを確認する

▼以下の記事を参照して下さい。

アーザスBlog
 
https://a-zs.net/apache-log4j_version_check
2021.12.21
[まとめ]Apache Log4jのバージョンを確認する方法
2021年12月10日から「Log4Shell」をはじめとした重大なApache Log4jの脆弱性が複数確認され、世界中で注目されています。現時点ではApache Log4j 2.0～2.16.0までがこれらの脆弱性の対象となっています。Apache Log4jを使用している場合は早急にバージョンを確認しましょう。脆弱性の詳細・対策記事▼一定の条件でリモートコード実行が可能な脆弱性（CVE-2021-44832）▼一定の条件でDoS攻撃が可能な脆弱性（CVE-2021-45105）▼DoS攻撃可能な脆弱性（CVE-2021-45046）▼Log4Shell（CVE-2021-44228）【方法1】ファイル名からバージョンを確認...

【対策1】Log4jを最新バージョンにアップデートする

修正パッチが適用されたバージョン2.17.0(Java 8以降用)、2.12.3(Java 7用)がリリースされています。早急にアップデートしましょう。

Log4j – Download Apache Log4j 2

【対策2】Context LookupsをThread Context Map patternsで格納したものに書き換える

ロギング構成ファイルの「PatternLayout」タグで「Context Lookups」(${ctx：username}や$$ {ctx：username})を「Thread Context Map patterns」（％Xや％mdc、％MDC）で格納したものに書き換えます。

【例】

<ファイル名= "アプリケーション" fileName = "application.log" >  
  <PatternLayout>
    <pattern>%X{ctx：username}</ pattern>
  </ PatternLayout>
</ファイル>

【対策3】外部ソース由来のContext Lookupsの参照を削除する

HTTPヘッダーやユーザー入力など、外部ソース由来の「Context Lookups」(${ctx：username}や$$ {ctx：username})の参照を構成ファイルから削除します。