Log4j 2.0+, CVE-2021-44228

脆弱性の概要

2021年12月9日、Log4j 2.0+に重大な脆弱性があることが確認されました。 Log4jは、世界中の多くのJavaベースのアプリケーションで使用されているJavaのロギング・ライブラリです。

なお、この脆弱性により、すべてのお客様が影響を受けるわけではありません。 このセキュリティ問題の影響を受けるかどうかを判断するために、以下の詳細をお読みください。

何が心配なのでしょうか？

一番の懸念は、単純なHTTPリクエストでこの脆弱性が利用されることです。 場合によっては、攻撃者がリモートでプログラムコードを実行する機会を提供すると考えられています。 Liferayでは、すべてのお客様に早急な対応をお勧めします。

Liferayはどのような影響を受けるのですか？

Liferay 7.3 以下では、この脆弱性を公開しない旧バージョンの Log4j を使用しています。 しかし、Liferayの顧客の大半はElasticsearchも活用しており、そのロギングには影響を受けるLog4jのライブラリが使用されています。 一般的に、Liferayが使用しているElasticsearch専用クラスタは一般に公開されていないため、検索インフラへのアクセスはLiferayの機能を通じてプロキシされることになります。 今回の Liferay の標準構成 では、影響を受けるライブラリは存在しますが、攻撃者がこの脆弱性を利用する可能性は極めて低く、暴露のリスクは低いと考えられます。

どうすれば被ばくを軽減できますか？

この脆弱性は、DXP Portal version 7.4 GA1 を使用しているお客様にのみ、直接公開されます。 しかし、カスタムコードで影響を受けるライブラリの潜在的な使用を軽減するため、Liferayは、 すべてのお客様に対して、 スタートアップ・パラメーターに以下のJVMオプションを追加することを推奨しています。

-Dlog4j2.formatMsgNoLookups=true

この予防策は、Liferay純正のバンドル構成から環境が変更された場合や、Log4j 2.0+を利用しているプラグインによる暴露のリスクを軽減するために役立ちます。

この問題の正式な解決策はあるのでしょうか？

現時点では、Liferayからの正式なパッチは期待できません。 Elasticsearch社は、自社製品の脆弱性に対応するための変更に取り組んでおり、同社が提供する修正プログラムは、次回のfixpack/updateに含まれる予定です。

DXP Cloudの顧客である場合はどうすればよいですか？

Liferay DXP Cloud のアプリケーションおよびインフラはこの脆弱性の影響を受けませんが、Liferay の見解として、 全てのお客様 は、Elasticsearch が提供する説明に従い、上記のように JVM のパラメータを変更する必要があるとします。

質問

脆弱性についてのご質問はこちら Liferayサポートまたはカスタマーサクセスマネージャーに遠慮なくご連絡ください。