更新情報：3つのWAFルールすべてに、デフォルトのアクションとして ブロック が設定されました。
人気の高い Apache Log4j ユーティリティ ( CVE-2021-44228 )に影響を与えるゼロデイエクスプロイトが2021年12月9日に公開され、リモートコード実行（RCE）に至ります。
この脆弱性は積極的に悪用されており、Log4jを使用しているすべてのユーザーは、できるだけ早くバージョン2.15.0にアップデートする必要があります。最新のバージョンは、 Log4j のダウンロードページ ですでに確認できます。
最新バージョンへのアップデートが不可能な場合、クラスパスからJndiLookupクラスを削除することで、この脆弱性を軽減できます。さらに、Log4j バージョン2.10およびそれ以降では、システムプロパティ log4j2.formatMsgNoLookups または LOG4J_FORMAT_MSG_NO_LOOKUPS 環境変数を true に設定することで、この問題を軽減できます。
また、Cloudflare WAFをご利用のお客様は、新たに導入された3つのルールを活用することで、悪用される可能性を軽減することができます。
| ルールID | 説明 | デフォルトアクション |
|---|---|---|
100514 (旧バージョンのWAF)6b1cc72dff9746469d4695a474430f12 (新しいWAF) |
Log4jのヘッダ | BLOCK |
100515 (旧バージョンのWAF)0c054d4e4dd5455c9ff8f01efe5abb10 (新しいWAF) |
Log4jのボディ | BLOCK |
100516 (旧バージョンのWAF)5f6744fa026a4638bda5b3d7d5e015dd (新しいWAF) |
Log4jのURL | BLOCK |
この軽減措置は、HTTPヘッダー、ボディ、URLをそれぞれ検査する3つのルールに分かれています。
引き続き状況を確認しており、WAFで管理されているルールを適宜更新していきます。
脆弱性の詳細については、公式の Log4j のセキュリティページ に記載されています。
影響の対象
Log4jは、Apache Software Foundationが管理する、Javaベースの強力なロギングライブラリです。
すべての Log4j 2.0-beta9 から 2.14.1 までのバージョンにおいて、構成、ログメッセージ、およびパラメータで使用される JNDI 機能は、攻撃者に悪用され、リモートでコードが実行される可能性があります。具体的には、ログメッセージやログメッセージのパラメーターを制御できる攻撃者は、メッセージのルックアップ置換が有効な場合、LDAP サーバーから読み込んだ任意のコードを実行できます。