LiferayによるLog4jの最近の脆弱性に関する声明
更新日：2022年2月3日 | 初版公開日：2021年12月20日
参照: https://nvd.nist.gov/vuln/detail/CVE-2021-44228 参照: https://nvd.nist.gov/vuln/detail/CVE-2021-4104 参照: https://nvd.nist.gov/vuln/detail/CVE-2021-45046 参考資料: https://nvd.nist.gov/vuln/detail/CVE-2021-45105
エグゼクティブサマリー
12月10日から12月18日にかけて、Log4j & Log4j2 バージョンでいくつかの重大な欠陥が発表されました。 Liferay は、参照されている勧告、すなわち CVE-2021-44228 の脆弱性の影響を受けるのは Liferay Portal または DXP の 7.4 バージョンのみであることを確認しました。
詳細については、Liferay の詳細なアドバイザリを参照してください。 https://help.liferay.com/hc/en-us/sections/360002102392-Security-Alert
Liferay DXP
製品では、Log4j2ライブラリがReload4jに置き換えられました。 お客様は、この変更を含むパッチを要求するか、次のリリース（7.3 SP4 & 、その他のバージョンは未定）にアップデートすることができます。
お客様は、Log4j[1]を2.17.1にアップデートしようとしないでください。コードの変更と再コンパイルが必要となり、Log4jのサポートが無効になります。
Elasticsearch / Liferay Enterprise Search のお客様
Elasticsearch のバージョン 7.16.2 および 6.8.22 のダウンロードが可能になりました。 これらのリリースには、Log4jの最新バージョン（2.17.0）が含まれています。
詳細および最新情報については、LES の勧告 記事 を参照してください。
Solrの顧客
Solr 8.11.x が Liferay DXP 7.1-7.3 の 検索エンジン互換性マトリックス に互換性のあるものとして追加されました。