Javaライブラリ「Apache Log4j」の脆弱性（CVE-2021-44228）を標的とした攻撃の観測について

2021年12月14日

概要

  • Javaでログ出力に使われるライブラリ「Apache Log4j」の脆弱性（CVE-2021-44228）に関する情報が、The Apache Software Foundationから公表されています。
  • 12月10日以降、当該脆弱性を標的とした攻撃を観測しています。

「Apache Log4j」の脆弱性に対する攻撃の観測状況（グラフ）

  • このグラフは、全国の警察施設のインターネット接続点に設置されたセンサーで観測したアクセス（件数）の１センサー当たりの平均の推移を示したものです。なお、このグラフは一時間毎に更新致します。また、今後の観測状況によっては、予告なく更新を停止する場合があります。

影響を受けるシステム

  • Apache Log4j-core 2.15.0より前の２系のバージョン

対策

  1. Javaで開発されているプログラムを利用している場合は、Apache Log4jの利用の有無の確認及び各プログラムの公式ウェブサイトのアップデート情報の確認をすることを推奨します。
  2. 脆弱性の影響を受けるバージョンを利用されている場合は、公開している情報を確認し、速やかに対策を適用することを推奨します。
  3. Webアプリケーションファイアウォール等のシグネチャによる検知や防御の回避を試みているパケットを観測しています。シグネチャ検知による回避策以外の対策も適用することを推奨します。

参考