文献

J-GLOBAL ID：202202224142824682   整理番号：22A0935640

Log4j2の脆弱性とは何か?Part 2 しくみを知り対策を考える-Log4j2の脆弱性がJava市場に与えた衝撃

著者 (1件)： 杉山貴章
資料名： Software Design  (Software Design)
号： 378  ページ： 109-114  発行年： 2022年04月18日 
JST資料番号： L3952A  ISSN： 0916-6297  資料種別： 逐次刊行物 (A)
記事区分： 解説  発行国： 日本 (JPN)  言語： 日本語 (JA)

抄録/ポイント： ・JavaアプリケーションのためのログライブラリApache Log4jは非常に多くのアプリケーションやライブラリ,フレームワークに利用されており,2.x系(Log4j2)に見つかった脆弱性(Log4Shell)を解説。
・原因はLog4j2で提供されているJNDI(Java Naming Directory Interface) Lookupであり,JNDIはLDAP(Lightweight Directory Access Protocol)プロトコルをサポート。
・ログとして出力される文字列に外部のサーバから読み込んだオブジェクトが出力する値を埋め込めるので,第三者が悪意のあるコードを対象のアプリケーションに送り込むことが可能。
・複数の別のフレームワークやライブラリを組み合わせて利用しているJavaアプリケーションでは依存関係によって間接的に脆弱性の影響を受け,ロガー部分のパッケージlog4j-coreが含まれないことの確認が必要。
・一次的な緩和策として2.1.6.0以外ではアプリケーションのクラスパスからJndiLookupクラスのファイルを削除,2.1.6.0では構成ファイルでContext Lookupの設定を置き換えることが有効。

シソーラス用語： *ソフトウェア設計 ,  *情報セキュリティ ,  *Java ,  ライブラリ【計算機】 ,  応用プログラム ,  性質 ,  プロトコル ,  フレームワーク【ソフトウェア開発】
準シソーラス用語： アプリケーション ,  脆弱性

分類 (3件)： 計算機システム開発  (JD02010R) ,  データ保護  (JD01020V) ,  汎用プログラミング言語  (JD03051H)

タイトルに関連する用語 (5件)： 脆弱性 ,  対策 ,  Java ,  市場 ,  衝撃