CVE-2021-44228 に続いて、Log4J の 2 つ目の CVE が、 CVE-2021-45046 として報告されました。CVE-2021-44228 に対して以前にリリースしたルールは、この新しい CVE に対しても同レベルの保護を提供します。 CVE-2021から44228秒Log4JのCVEのかかと上のホットが提出されたCVE-2021から45046。以前CVE-2021-44228でリリースしたルール はこの新しいCVEでも同レベルの保護を提供します。
この脆弱性は活発に不正利用されています。Log4J を使用している人は以前に 2.15.0 に更新していても、できるだけ早くバージョン 2.16.0 に更新する必要があります。最新版はLog4J ダウンロードページから入手可能です。
Cloudflare WAFをご利用のお客様には、不正利用された場合の被害を軽減するために３三つのルールを設けています。
ルールID
説明
デフォルトアクション
100514 (旧バージョンの WAF)6b1cc72dff9746469d4695a474430f12 (新バージョンの WAF)
Log4J のヘッダ
ブロック
100515 (旧バージョンの WAF)0c054d4e4dd5455c9ff8f01efe5abb10 (新バージョンの WAF)
Log4J のボディ
ブロック
100516 (旧バージョンの WAF)5f6744fa026a4638bda5b3d7d5e015dd (新バージョンの WAF)
Log4JのURL
ブロック
この軽減措置は、HTTPヘッダー、ボディ、URLをそれぞれ検査する3つのルールに分かれています。
上記のルールに加え、私たちは4つ目のルールをリリースしました。このルールは、誤検知率が高くなりますが、より広範囲の攻撃から保護することができます。そのため、私たちはこのルールを利用できるようにしましたが、デフォルトではブロックに設定されていません。上記のルールに加え４四つ目のルールをリリースしました。このルールはより高い誤検知につながるとはいっても、より広範囲の攻撃から保護することができます。そのため、このルールを利用できるようにしましたが、デフォルトでは BLOCKに設定されていません。
ルール ID
説明
デフォルトアクション
100517 (旧バージョンの WAF)2c5413e155db4365befe0df160ba67d7 (新しい WAF)
Log4JアドバンストURI、ヘッダー
無効
影響の対象
Log4jは、Apache Software Foundationが管理するJavaベースの強力なロギングライブラリです。
すべての Log4j 2.0-beta9 から 2.14.1 までのバージョンにおいて、構成、ログメッセージ、およびパラメータで使用される JNDI 機能は、攻撃者に悪用され、リモートでコードが実行される可能性があります。具体的には、ログメッセージやログメッセージのパラメーターを制御できる攻撃者は、メッセージのルックアップ置換が有効な場合、LDAP サーバーから読み込んだ任意のコードを実行できます。
また、バージョン 2.15.0 に見られる CVE-2021-22448 での旧緩和策は、CVE-2021-45046 を保護するには十分ではありませんでした。