チャットでのお問い合わせ
Loader
接続中です。しばらくお待ちください。

Apache Log4j 2の脆弱性(CVE-2021-44228)に関する情報/ [CVE-2021-45046(2021年12月14日)]

Zebra Technologies is actively following the security vulnerability in the open-source Apache “Log4j 2" utility (CVE-2021-44228). We are currently assessing the potential impact of the vulnerability for Zebra products and solutions. This is an ongoing event, and we will continue to provide updates through our customer communications channels. Our support page will be updated to include relevant information as it becomes available.

Background: The Apache Log4j utility is a commonly used component for logging requests. On December 9, 2021, a vulnerability was reported that could allow a system running Apache Log4j version 2.14.1 or below to be compromised and allow an attacker to execute arbitrary code.

On December 10, 2021, NIST published a critical Common Vulnerabilities and Exposure alert, CVE-2021-44228. More specifically, Java Naming Directory Interface (JNDI) features used in configuration, log messages, and parameters do not protect against attacker-controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from remote servers when message lookup substitution is enabled.

CVE-2021-45046(2021年12月14日)

Description: It was found that the fix to address CVE-2021-44228 in Apache Log4j 2.15.0 was incomplete in certain non-default configurations. This could allows attackers with control over Thread Context Map (MDC) input data when the logging configuration uses a non-default Pattern Layout with either a Context Lookup (for example, $${ctx:loginId}) or a Thread Context Map pattern (%X, %mdc, or %MDC) to craft malicious input data using a JNDI Lookup pattern resulting in a denial of service (DOS) attack. Log4j 2.15.0 makes a best-effort attempt to restrict JNDI LDAP lookups to localhost by default. Log4j 2.16.0 fixes this issue by removing support for message lookup patterns and disabling JNDI functionality by default.

自分を守るために何をすべきですか?

SWベンダーにご相談のうえ、影響を受けるすべてのSWアプリケーションのパッチを入手してできるだけ早く更新することを強くお勧めします。

社内で開発されたサーバー、アプリケーションについては、Log4j 2を含む環境を管理されている方が、Apacheのガイダンスhttps://logging.apache.org/log4j/2.x/に従ってバージョンLog4j 2.15.0以降に更新することを強くお勧めします。

影響を受けた製品のサポートページ:

影響を受ける製品 CVE-2021-44228 (Apache Log4j 2) 日付 CVE-2021-45046 日付
Visibility IQ (VIQF) 脆弱性に対して限定的に暴露、修復完了済み 修正済み
2021年12月12日
影響なし N/a
SOTI MobiControl v 14.3~15.4.1 - ホスティング環境 Limited exposure to this vulnerability. Engineering is actively working to resolve 修正済み
2021年12月22日
Limited exposure to this vulnerability. Engineering is actively working to resolve 修正済み
2021年12月22日
PTT Pro Windows/Desktop (G1, G2) 脆弱性を継続的に評価した結果、下記のWorkforce Connect(WFC)製品はこの脆弱性の影響を受けないと判断されました。 N/a 脆弱性を継続的に評価した結果、下記のWorkforce Connect(WFC)製品はこの脆弱性の影響を受けないと判断されました。 N/a
Zebraエンタープライズメッセージング 調査終了。この脆弱性の影響を受けないバージョンを使用しています。 修正済み
2021年12月15日
影響なし N/a
フェッチ Limited exposure to this vulnerability. Engineering mitigated issue 修正済み
2021年12月12日

Limited exposure to this vulnerability. Engineering is actively working to resolve 脆弱性を継続的に評価した結果、この製品は影響を受けないと判断されました。
Reflexis 脆弱性に対して完全に暴露されました。エンジニアリングが解決に取り組んでいます。 2021年12月29日修正済み 脆弱性に対して完全に暴露されました。エンジニアリングが解決に取り組んでいます。
2022年1月7日修正済み
可視性サーバーソフトウェア(ZLS) 調査終了。この脆弱性の影響を受けないバージョンを使用しています。 修正済み
2021年12月14日
調査終了。この脆弱性の影響を受けないバージョンを使用しています。 N/a
MotionWorksエンタープライズ(ZLS) JVM起動時に「Dlog4j2.formatMsgNoLookups=true」を設定することで脆弱性を修正しました。 修正済み
2021年12月14日
Low Risk - The components use log4j will only receive requests when the user is authenticated. They do not log arbitrary user inputs. 修正済み
2021年12月19日
Zebra Profitect (ZPA) Limited exposure to this vulnerability. Engineering as removed IntelliJ and Log4J to remediate 修正済み
2021年12月10日
影響なし N/a
プリンタProfile Manager Enterprise (PPME)

この脆弱性の影響を受けません。

バージョン3.2.7563以降は、Log4jに関連するファイルおよびコンポーネントを削除および/または更新します。

サポートページをご覧ください。

2021年2月8日更新

この脆弱性の影響を受けません。

バージョン3.2.7563以降は、Log4jに関連するファイルおよびコンポーネントを削除および/または更新します。

サポートページをご覧ください。

2021年2月8日更新

Disclaimer: Zebra makes every attempt to release security updates on or about the time that Google releases its respective security bulletin. However, delivery time of security updates may vary depending on the region, product model, and third party software suppliers. Under some circumstances, the OS must be updated to the latest maintenance release prior to installing the security updates. Individual product updates will provide specific guidance.

特に明記されていない限り、これらの新たに報告された問題から積極的な顧客の搾取や悪用の報告はありません。



Zebraテクノロジーズ製品の潜在的なセキュリティ上の問題を認識していますか?