参考： https://nvd.nist.gov/vuln/detail/CVE-2021-44228

Log4j 2.0+に重大な脆弱性が確認されました。 これは、ほとんどのJavaベースのアプリケーションで使用されているJavaロギングライブラリで、この脆弱性は世界中のほとんどの製品に影響を及ぼします。 ログに記録された簡単なHTTPリクエストによって簡単に悪用され、リモートでコードを実行される可能性があります。この問題に対処するために、皆様が直ちに行動を起こすことをお勧めします。

Liferay DXPとポータル

Liferay DXP と Portal 7.4 は、 脆弱性 CVE-2021-44228 の影響を受け、悪用される可能性があります。 このバージョンをご利用のお客様には、この攻撃を軽減するために、以下のJVMパラメータを設定するようお願いしています。。

-Dlog4j2.formatMsgNoLookups=true

注）Liferay DXP 7.4 DXP Update 1 および Liferay Portal 7.4 GA5 には、本脆弱性に対応した Log4j の更新版（2.15.0）が収録されます。

Liferay DXP および Portal 7.3 以下 は、問題のあるコード変更を含まないバージョンの Log4j を使用しているため、CVE-2021-44228 で報告された Log4j2 の脆弱性の影響を受けません。 私たちのマーケットプレイスアプリケーションの一部（Connector to Elasticsearch 6/7など）は、脆弱なバージョンのLog4j2を含んでいますが、製品の範囲やログの種類が限られているため、この脆弱性がLiferayシステムを攻撃するために使われる可能性を特定することは出来ませんでした。 全ての製品において、Log4jのバージョンアップに関係なく取り組んでいます。

カスタムモジュール、プラグイン、エクステンション - お客様には、コードベースの監査をお勧めします。 もし、脆弱なライブラリの使用を発見した場合は、できるだけ早く修正プログラムを適用し、Log4j のバージョンを 2.15.0 にアップグレードし、本番環境と非本番環境のすべてのライブ環境に変更を導入することが推奨されます。

Liferay DXP Cloud

Liferay DXP Cloud のアプリケーションおよびインフラは、この脆弱性の影響を受けません。

Liferay DXP クラウドサービス

以下のサービスは、脆弱性の影響を受けません。

• liferaycloud/backup

• liferaycloud/database

• liferaycloud/jenkins

• liferaycloud/nginx

• liferaycloud/vpn

Liferay DXP 7.4 (liferaycloud/liferay-dxp, liferaycloud/liferay-portal) - Liferay DXP 7.4 を実行しているお客様には、その環境における脆弱性を軽減するための作業を行っています。 DXP 7.3以下をお使いのお客様には影響はございません。

Elasticsearch (liferaycloud/elasticsearch, liferaycloud/elasticsearch-api) - ES製品に影響があるかもしれませんが、Liferayサービスを通してこの脆弱性を利用する方法は確認されていません。 Liferay DXP Cloudでの更新イメージの公開については、Elastic社の対応と修正を待っているところです。

Liferay Cloud で提供されていないカスタムサービス - お客様には、カスタム Java アプリケーションを見直すことを強くお勧めします。

Liferay エンタープライズサーチ

Elasticsearch および Liferay Enterprise Search のセキュリティアドバイザリ。2021年12月11日(CVE-2021-44228)