Log4j (Log4Shell) の脆弱性 - 知っておくべきこと

Apache Log4jの脆弱性「Log4Shell」

(CVE-2021-44228)

何が起きていますか？

2021年12月9日に、Java向けのログ出力ライブラリとして広く利用されている「Apache Log4j」に存在する重大なゼロデイ脆弱性（通称「Log4Shell」）の情報が公開されました。この脆弱性の対象となるライブラリは多くの企業やクラウドアプリケーションにおいて利用されており、広範囲の製品に影響します。よって、法人組織はまずどのシステムがLog4jを使用しているか把握し、その上で迅速に対応することが求められています。

どのように対応すべきですか？

まず、自組織が利用または提供しているどのシステムがLog4jを使用しているか把握してください。そして、影響を受けるシステムに対してベンダのパッチをすぐに適用することを強く推奨します。現在、この問題を解決したとされるLog4j2の新バージョンがリリースされています。影響を受けるシステムをご利用の方は、出来る限り早くこのライブラリを更新することを検討してください。

トレンドマイクロができること
トレンドマイクロが提供する脆弱性診断ツールを活用して、自組織のサーバの影響有無を確認できます。
また、トレンドマイクロ製品における本脆弱性への影響は以下からご確認いただけます。
なお、Trend Micro Researchはサイバーセキュリティコミュニティとともに、Log4jの脆弱性を積極的に分析しています。