ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

[LES] Log4jの脆弱性（CVE-2021-44228）に対するElasticの対応

Liferay Enterprise Search (LES) 専用コンテンツ。

この記事では、Apache Log4j 2ユーティリティの複数のバージョンに影響を与える、重大度の高い脆弱性（CVE-2021-44228）に対するElastic社の対応の詳細について説明します。

コンテクスト

Log4jは、Elastic製品のコンポーネントとして使用され、Elasticおよびユーザーが問題をトラブルシューティングするのに役立つログステートメントを出力します。

Elasticまたはお客様への影響があったかどうかを判断するためのセキュリティ調査が実施され、Elasticからの最新の更新情報を以下のセキュリティアナウンスに集約しています。

以下の製品が影響を受ける可能性があります。詳細については、セキュリティアナウンスの該当製品固有のセクションを参照してください。

APM Javaエージェント - 特定の条件下でLog4j 2の脆弱性（CVE-2021-44228）にさらされる可能性があります。対策には、設定の変更または最新バージョン（1.28.1）へのアップグレードが必要です。
Logstash - Log4j 2 (CVE-2021-44228) は、JDK 8u191 より前のバージョンでリモートコード実行の脆弱性を抱えています。新しいバージョンのJDKでは、サービス拒否攻撃や情報漏洩の危険性があります。 JndiLookup クラスの削除、または Logstash のバージョン 6.8.21 もしくは 12月13日にリリースされる 7.16.1 へのアップデートが必要です。
Elasticsearch - Log4j 2 (CVE-2021-44228) Elasticsearch 6 および 7 ではリモートコード実行の脆弱性はありませんが、情報漏洩の可能性があります。完全な対策には設定の変更、または 12 月 13 日にリリースされる Elasticsearch バージョン 6.8.21 または 7.16.1 へのアップデートが必要です。 Elasticsearch 5に関する調査は現在も継続中です。

以下のElastic製品には、この脆弱性が存在しないことを検証しました。

オーケストレーションされた環境は、展開された製品への影響について評価されるべきである。

Elasticsearchは、米国で登録されたElasticsearch BVの商標です。およびその他の国 / 商標 / 利用規約 / プライバシー

Apache、Apache Lucene、Apache Hadoop、Hadoop、HDFS、および黄色の象のロゴは、米国および／またはその他の国におけるApache Software Foundationの商標です。