2021年12月9日、セキュリティ業界は新たな脆弱性「CVE-2021-44228」を認識しました。
CVE-2021-44228 は、CVSS (Common Vulnerability Scoring System) スコアが 10.0 で、最高かつ最も重要な警告レベルであり、”Log4Shell” というニックネームで呼ばれています。
技術的な背景を説明すると、2.0-beta9 から 2.14.1 までのバージョンの Java ログライブラリ “Apache Log4j 2” に欠陥が見つかりました。
これは、システムが攻撃者のJNDI LDAPサーバ検索で攻撃者が制御する文字列値をログに記録した場合、リモートの攻撃者がApacheを実行しているサーバ上でコードを実行できる可能性があります。
より簡単に言えば、このエクスプロイトにより、攻撃者はJavaアプリケーション上で悪意のあるコードを実行できるようになり、世界中でLog4jが普及しているため、重大なリスクをもたらすことになります。Aryaka Networksのセキュリティ・チームは熱心に働いていますこの情報公開以来、Aryaka Networksのセキュリティ・チームは、私たちの顧客と私たちの内部システムがこの脅威にさらされる可能性のある潜在的な脆弱性や露出を特定し、正確に指摘し、軽減するために精力的に働いています。
以下はそのログです：2021年12月9日セキュリティ・コミュニティは、Apache Log4jソフトウェアにおける積極的な悪用の試みに気づきました。
2021年12月10日Aryaka Networksは、このエクスプロイトに関連するトラフィックシグネチャを特定し、当社の顧客ベースの積極的な監視を開始しました。
2021年12月12日Aryaka Networks は、以下のサービスおよびシステムに影響がないことを確認しました：
- Aryaka Network Access Point(ANAP)にはJAVAコンポーネントはなく、脆弱性はありません。
- 内部コンポーネントを含むMyAryakaは、log4j 2バージョンをどこにも使いません。
- Aryaka COREネットワークはこの脆弱性の影響を受けません。
- 弊社がサポートしているサードパーティのSASEソリューションには影響がないことを確認しています。
AryakaのクラウドファーストWANとセキュリティ・プラットフォームは？
暴露されましたか？ 簡単な答えは「ノー」です。
当社のエンジニアリング・チームとオペレーション・チームは、当社のセキュリティ・アナリストと協力して自社のクラウドを調査し、当社が把握しているすべての情報に基づき、このエクスプロイトに対する脆弱性がないことを確認しました。
結局のところ、100％安全ということはありません。
このテストは、潜在的なリスクを最小限に抑えるために何を行ったか、そしてリスクが顕在化したときにそれを軽減するために何ができるかが重要なのです。
Aryakaには、攻撃対象領域を最小化し、新たな脅威への対応能力を最大化するためのすべてのリソース、スキル、才能があります。
これこそが、お客様にふさわしいバランスなのです。これはまだ終わったわけではありません。このような知名度の高い重要なCVEではよくあることですが、ITおよびサイバー・コミュニティ全体のアナリストがこのケースをさらに深く掘り下げるにつれて、より多くのデータやIoC（侵害の兆候）が表面化しています。
当社のリサーチャーとエンジニアは、コミュニティ全体における新たな発見を監視し、独自の調査を実施することで、お客様の保護に努めています。