参考： https://nvd.nist.gov/vuln/detail/CVE-2021-44228
参考： https://nvd.nist.gov/vuln/detail/CVE-2021-4104
参考： https://nvd.nist.gov/vuln/detail/CVE-2021-45046

脆弱性の概要

Log4j 2.0+に、攻撃者が脆弱なアプリケーションを完全に制御できる重大な脆弱性が確認されました。 これらの脆弱性には、3つのCVEが記入されています。

1. CVE-2021-44228 - Log4j のログメッセージを経由した RCE (Log4j バージョン 2)
2. CVE-2021-4104 - (Log4j version 1) の Log4j 設定ファイル経由の RCE
3. CVE-2021-45046 - 特別な Log4j 設定ファイルと Log4j の拡張利用を経由した DoS (Log4j version 2)

Liferay DXP 7.4 は、以前のアップデートで発表したように、(1) CVE-2021-44228 の影響を受けています。 他の Liferay DXP バージョンには、公開されている CVE のいずれに対しても脆弱性はありません。

詳細情報

CVE-2021-44228 以前発表されましたが、DXP 7.4 のみ Log4j2 を脆弱な構成で使用しており、悪用される可能性があります。 それ以外のバージョンでは悪用できません。

CVE-2021-4104 攻撃者が log4j.xml または log4j.properties 設定ファイルへの書き込み権限を持っている必要があります。 Liferay DXP では、どのユーザーもディスクにファイルを書き込むアクセス権を持っていません。

CVE-2021-45046 は、アプリケーションが特別な log4j 設定ロギング構文を使用し、ユーザーが提供する入力を Log4j スレッドコンテキストマップに格納することを要求します。 Liferay DXP は、前述の Log4j 設定構文を使用せず、ユーザーが提供した入力を Log4j Thread Context Map やその他の関連するクラスやコンテキストに保存しません。

どうすれば被ばくを軽減できますか？

CVE-2021-44228 を緩和するために、 以下の JVM オプションをスタートアップパラメーターに追加することが推奨されます:

-Dlog4j2.formatMsgNoLookups=true

安心のために、すべてのlog4jのJARファイルからJndiLookup.classを削除することをお勧めします。 この緩和策には副作用があるため、お客様固有の環境でテストする必要があります。

CVE-2021-4104を緩和する必要はありません。 安心のために、可能であれば log4j JAR ファイルから JMSAppender.class を削除するか、Liferay DXP JVM クラスパスディレクトリへの書き込みパーミッションを無効にすることをお勧めします。 この緩和策には副作用があるため、お客様固有の環境でテストする必要があります。

CVE-2021-45046を緩和する必要はありません。 安心のために、すべてのlog4jのJARファイルからJndiLookup.classを削除することをお勧めします。 この緩和策には副作用があるため、お客様固有の環境でテストする必要があります。

この問題の正式な解決策はあるのでしょうか？

Log4j のライブラリは、次回のフィックスパック/アップデートで脆弱性のないバージョンにアップグレードされる予定です。

さらにご心配なお客様は、サポートチケットを作成し、Hotfixの適用をご依頼ください。