参考： https://nvd.nist.gov/vuln/detail/CVE-2021-45105

脆弱性の概要

新しい脆弱性 CVE-2021-45105 Log4j バージョン 2 に影響を与えるものがあります。 バージョン 2.17.0 では、以前の CVE-2021-45046で完全に修正されていなかった DoS の脆弱性をより良く解決するために、修正されています。 デフォルトの Liferay DXP と Liferay Portal バンドルは、この新しい脆弱性を悪用できません。DXP と Portal バージョン 7.4 は、最初の CVE-2021-44228 に対してのみ脆弱性があります。

詳細情報

CVE-2021-45105 は、CVE-2021-45046の追加修正版です。 自分自身に置換する参照を使用した場合、無限再帰ループに陥る可能性があります。 これは、StackOverflowErrorにつながる可能性があり、すべてのJVMスレッドを消費し、JVMを終了するエッジケースです。

悪用条件は、以前の CVE-2021-45046と同じです。 特別なlog4j構成ロギング構文を使用し、Log4jスレッドコンテキストマップにユーザーが提供する入力を格納するためのアプリケーションです。 Liferay DXP は、前述の Log4j 設定構文を使用せず、ユーザーが提供した入力を Log4j Thread Context Map や https://github.com/liferay/liferay-portal/blob/7.4.x/portal-impl/src/com/liferay/portal/log/Log4jLogImpl.javaにあるような他の関連クラスやコンテキストに保存しない。

どうすれば被ばくを軽減できますか？

軽減する必要はありません CVE-2021-45105. 安心のために、log4jのJARファイルからJndiLookup.classを削除することをお勧めします。 https://liferay.dev/blogs/-/blogs/log4j2-vulnerability-fixing-the-jar.

この緩和策には副作用があるため、お客様固有の環境でテストする必要があります。

この問題の正式な解決策はあるのでしょうか？

Log4j のライブラリは、次のフィックスパック/アップデートで脆弱性のないバージョンに製品内でアップグレードされる予定です。

さらにご心配なお客様は、サポートチケットを作成し、Hotfixの適用をご依頼ください。