LiferayによるCVE-2021-44228（Log4jの脆弱性）に関する声明

公開日：2021年12月10日

参照: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

Log4j 2.0+に重大な脆弱性が確認されました。 これは、ほとんどのJavaベースのアプリケーションで使用されているJavaロギングライブラリであり、この脆弱性は世界中のほとんどの製品に影響を与えます。 ログに記録される単純なHTTPリクエストを通じて容易に悪用される可能性があり、リモートコード実行につながる恐れがあるため、皆様にはこの問題に対処するために直ちに行動を起こすことを強くお勧めします。

Liferay DXPとPortal

Liferay DXP および Portal 7.4 は脆弱性 CVE-2021-44228 の影響を受け、悪用される可能性があります。 対策として、このバージョンをご利用のお客様全員に、以下のJVMパラメータを設定して攻撃を軽減していただくようお願い申し上げます。

-Dlog4j2.formatMsgNoLookups=true

注：Liferay DXP 7.4 DXP Update 1およびLiferay Portal 7.4 GA5には、この脆弱性に対処する更新版のLog4j（2.15.0）が含まれます。

Liferay DXP および Portal 7.3 以前のバージョン は、CVE-2021-44228 で報告された Log4j2 の脆弱性の影響を受けません。これらのバージョンでは、問題のあるコード変更が含まれていないバージョンの Log4j を使用しているためです。 当社のマーケットプレイスアプリケーションの一部（Elasticsearch 6/7へのコネクタなど）には、脆弱なバージョンのLog4j2が含まれていますが、製品の範囲とログの種類が限られているため、この脆弱性がLiferayシステムへの攻撃に悪用される可能性を特定できませんでした。 当社は、すべての製品においてLog4jのバージョン更新に取り組んでいます。

カスタムモジュール、プラグイン、拡張機能 - お客様にはコードベースの監査をお勧めします。 脆弱性のあるライブラリの使用箇所が見つかった場合は、できるだけ早く対策を適用し、Log4jのバージョンを2.15.0にアップグレードし、本番環境と非本番環境を含むすべての稼働環境に変更をデプロイすることをお勧めします。

Liferay SaaS

LiferayのSaaSアプリケーションおよびインフラストラクチャは、この脆弱性の影響を受けません。

Liferayクラウドサービス

以下のサービスは、脆弱性の影響を受けません。これらのサービスは、脆弱性のあるライブラリに依存していないためです。

• liferaycloud/バックアップ

• LiferayCloud/データベース

• LiferayCloud/Jenkins

• LiferayCloud/Nginx

• LiferayCloud/VPN

Liferay DXP 7.4 (liferaycloud/liferay-dxp、liferaycloud/liferay-portal) - Liferay DXP 7.4 を実行しているすべてのお客様と協力して、環境内の脆弱性を軽減しています。 DXP 7.3以前のバージョンを使用しているお客様には影響はありません。

Elasticsearch (liferaycloud/elasticsearch、liferaycloud/elasticsearch-api) - ES 製品が影響を受ける可能性がありますが、Liferay サービスを介してこの脆弱性を利用する既知の方法はありません。 Liferay DXP Cloudに更新されたイメージをリリースするために、Elasticからの回答と修正を待っています。

Liferay Cloud では提供されていないカスタムサービス - お客様にはカスタム Java アプリケーションを見直すことを強くお勧めします。

Liferay Enterprise Search

ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2021年12月11日（CVE-2021-44228）