Ubuntu 21.10 その51 - Apache Log4j2の脆弱性（Log4Shell）とソフトウェアの対応について

Apache Log4j2の脆弱性（Log4Shell）とアプリの対応について

先日紹介したように「Apache Log4j2」でリモートコードを実行可能な脆弱性が見つかり、「Ubuntu」ではその脆弱性に対応した「Apache Log4j2」をリリースしています。

致命的な脆弱性

この脆弱性には以下の「CVE」が割り当てられており、脆弱性の評価は致命的（High）となっています。
つまり即急な確認及び対応が必要です。

• CVE-2021-44228
• CVE-2021-45046

ソフトウェアの対応

すでに「Ubuntu」では「Ubuntu」の公式リポジトリーに配置されている「Apache Log4j2」のアップデートをリリースしており、「Ubuntu」の公式リポジトリーに配置されている「Apache Log4j2」を利用しているソフトウェアは本脆弱性の修正に対応しています。

1. Apache Log4j2に任意コード実行の脆弱性（CVE-2021-44228）・Ubuntuの対応とアップデートのリリース
2. Apache Log4j2にDoSの脆弱性（CVE-2021-45046）・セキュリティーアップデートのリリース

個別に確認が必要なソフトウェア

「Ubuntu」で利用できるソフトウェアは「Ubuntu」の公式リポジトリーから提供されるソフトウェアだけではありません。
「PPA」や「Snap」、「Flatpak」、「AppImage」、第三者が配布するバイナリー、ソースコードからビルドするなど、様々な形態で配布されているソフトウェアも利用可能です。

これらのソフトウェアはそもそも「Ubuntu」のサポート対象外であり、各ソフトウェアの提供者もしくは利用者が個別に「Apache Log4j2」の脆弱性の有無を確認及び対応しなければなりません。

言い換えれば「Apache Log4j2」を利用しているソフトウェアの内、「Ubuntu」の公式リポジトリーに配置されている「Apache Log4j2」を利用していないソフトウェアは、すべて個別に確認する必要があります。
ソフトウェアによっては「Apache Log4j2」も一緒に配布しているケースもあり、また「Apache Log4j2」は幅広く利用されているライブラリーでもあるため、影響範囲は広く確認には時間がかるでしょう。

最新情報を入手するには

「Apache Log4j2」の脆弱性及び「Ubuntu」の対応に関する最新情報は、以下を参照してください。

• Log4Shell

現在脆弱性の影響を受けるソフトウェア（パッケージ）の調査が行われていますが、その内容は上記リンク先で確認できます。
またアップストリームによる本脆弱性の説明は、以下を参照してください。

• Apache Log4j Security Vulnerabilities