更新情報：Log4jのセキュリティアドバイザリ

公開日：2021年12月13日

Log4j 2.0+、 CVE-2021-44228

脆弱性の概要

2021年12月9日、Log4j 2.0+に重大な脆弱性が確認されました。 Log4jは、世界中の多くのJavaベースのアプリケーションで使用されているJavaロギングライブラリです。

すべての顧客がこの脆弱性の影響を受けるわけではないことに留意することが重要です。 このセキュリティ問題の影響を受けるかどうかを判断するために、以下の詳細をお読みください。

何が問題なのですか？

最大の懸念は、この脆弱性が単純なHTTPリクエストを介して悪用される可能性があることである。 場合によっては、この脆弱性によって攻撃者がリモートでプログラムコードを実行できる可能性があると考えられている。 Liferayは、すべてのお客様に対し、この問題に対処するための措置を直ちに講じることを推奨します。

Liferayへの影響は？

Liferay 7.3以前のバージョンでは、この脆弱性を露呈しない古いバージョンのLog4jが使用されています。 しかし、Liferayの顧客の大多数はElasticsearchも利用しており、Elasticsearchはログ記録に影響を受けるLog4jライブラリを使用している。 一般的に、Liferayが使用する専用のElasticsearchクラスタは一般に公開されておらず、検索インフラストラクチャへのアクセスはLiferayの機能を介してプロキシされることを意味します。 Liferay のこの 標準構成 には影響を受けるライブラリが存在しますが、攻撃者がこの脆弱性を悪用する可能性は非常に低く、したがって暴露のリスクは低いです。

リスクを軽減するにはどうすれば良いですか？

この脆弱性は、DXP Portal バージョン 7.4 GA1 を使用している顧客のみに直接的な影響を与えます。 ただし、影響を受けるライブラリがカスタムコードで使用される可能性を軽減するために、Liferay は すべてのお客様 に、起動パラメータに次の JVM オプションを追加することを推奨します。

-Dlog4j2.formatMsgNoLookups=true

この予防措置は、Liferayの標準バンドル構成から環境が変更された場合、またはLog4j 2.0以降を使用するプラグインによって発生する可能性のある暴露リスクを軽減するのに役立ちます。

この問題に対する正式な修正は予定されていますか？

現時点では、Liferayから正式なパッチが提供される予定はありません。 Elasticsearchは、製品の脆弱性に対処するための変更に取り組んでおり、提供される修正は次回の修正パック／アップデートに含まれる予定です。

もし私がLiferayのSaaS顧客だったらどうなりますか？

Liferay SaaS アプリケーションおよびインフラストラクチャは、この脆弱性の影響を受けませんが、Liferay の立場としては、 すべての顧客 は Elasticsearch から提供される指示に従い、上記のように JVM パラメータを変更する必要があります。

ご質問はありますか？

この脆弱性についてさらに質問がありますか？ ライフレイサポートまたはカスタマーサクセスマネージャーまでお気軽にお問い合わせください。