注：このブログの初回公開後、F5はその後のCVE（CVE-2021-45046、CVE-2021-4104、CVE-2021-45105）を検証し、以下に記載する保護メカニズムがこれらの脆弱性にも有効であると判断しました。
12月9日にこの問題が明らかになって以来、世界中のセキュリティチームは、Apache Log4j2のセキュリティ脆弱性（CVE-2021-44228）がもたらす脅威を把握し、自組織への影響範囲を特定して緩和策を講じるため、昼夜を問わず対応を続けています。この脆弱性については多くの情報が公開されています。Log4Shellとも呼ばれるこの脆弱性は、端的に言えばリモートコード実行の脆弱性です。攻撃者が脆弱なアプリケーションに特定のデータを送信すると、一連の処理が引き起こされ、標的のアプリケーションが侵害される可能性があります。攻撃者はさまざまな方法でこの脆弱性を悪用できます。たとえば、暗号資産のマイニングソフトウェアをインストールしたり、アプリケーションから機密データを抽出したりすることが可能です。
脆弱性、その悪用、緩和策、修復への対応は、常に業務に混乱をもたらします。F5は、お客さまに専門知識とサポートを可能な限り提供することを使命としています。F5の各チームは、すでに大きな負担を抱えているアプリケーションチームとセキュリティチームが、業界全体に及ぶこの重大な脅威を緩和できるよう、ツールとガイダンスの提供に積極的に取り組んでいます。
F5の製品およびサービスを評価した結果、現時点の情報に基づき、BIG-IP、NGINX、Silverline、Volterra、Threat Stackの各製品は、これらの問題による脆弱性の影響を受けないことを確認しています。F5 Managed Servicesについては、通常の連絡手段を通じてお客さまにご連絡しています。F5製品およびLog4jの脆弱性に対する緩和策の最新情報は、AskF5のセキュリティアドバイザリで随時ご確認いただけます。
- K19026212: Apache Log4j2のリモートコード実行の脆弱性CVE-2021-44228
- K24554520：Apache Log4jのリモートコード実行の脆弱性CVE-2021-4104
- K32171392：Apache Log4j2の脆弱性CVE-2021-45046
- K34162192: Apache Log4j2のサービス拒否脆弱性CVE-2021-45105
F5の製品とサービスを活用してLog4jの脆弱性を緩和することは、これらのCVEがお客さまの環境にもたらすリスクを迅速かつ効果的に軽減する手段です。長期的な対策として、お客さまとその開発チームには、アプリケーション内の脆弱なLog4jライブラリをアップグレードするか、不要な場合は削除することを強く推奨します。
F5の製品およびサービスのポートフォリオ全体にわたり、包括的かつ迅速に対応できるセキュリティソリューションを通じて提供している支援の詳細について、以下でご確認いただけます。
F5 Security Incident Response Team（SIRT）
攻撃を受けている場合、または脆弱性が露呈する懸念がある場合は、F5 Supportに連絡し、F5 SIRTへのエスカレーションを依頼してください。このチームは24時間365日対応しており、攻撃や脆弱性の露呈を緩和するため、F5のソフトウェアおよびシステムへのパッチ適用から、設定やiRuleに関する支援まで、幅広くガイダンスを提供します。
BIG-IP Advanced WAF
F5は、Log4jの脆弱性に対する既知の攻撃ベクトルをブロックするシグネチャセットを、BIG-IP Advanced WAFおよびASM向けにリリースしました。本稿執筆時点で、F5 Threat Researchチームによるシグネチャを合計9件提供しています。このうち2件は、最初のCVE公開から数時間以内に提供を開始しました。バイパスの試みに対する保護を強化するため、シグネチャは継続的に更新されています。最新のAttack Signature Update（ASU）パッケージが適用されていることをご確認ください。
既存のBIG-IP Advanced WAF（またはASM）ポリシーを使用してこれらの脆弱性を緩和する方法について詳しくは、こちらのセキュリティアドバイザリをご覧ください。
BIG-IP iRule
Advanced WAFまたはASMの機能を使用していないF5 BIG-IPのお客さまは、F5 iRuleをアプリケーションに適用することで、特定のCVEを標的とする不正なトラフィックを検出、ログ記録、破棄できます。最初のセキュリティアドバイザリには、iRuleの実装に関する詳細情報とガイダンスが記載されています。
NGINX App Protect
NGINX App Protectをご利用のお客さまには、BIG-IP Advanced WAFをご利用のお客さまと同時にシグネチャ更新が提供されるため、F5プラットフォームにかかわらず一貫したアプリケーションセキュリティが確保されます。NGINX App Protectの設定で関連する脆弱性を緩和するには、シグネチャが更新されていることを確認し、こちらの「ドキュメント」を参照したうえで、WAFポリシーの攻撃タイプ「Server Side Code Injection」が有効になっていることを確認してください。追加の背景情報については、最近公開された「ブログ記事」をご覧ください。
Volterra WAF
Volterra WAFプラットフォームにも、NGINX App ProtectおよびBIG-IP Advanced WAFと同様に、Log4jの脆弱性に関連するあらゆるリスクをさらに軽減するため、更新されたシグネチャが適用されました。これらのシグネチャは現在、デフォルトのWAFポリシーに含まれているため、Volterra WAFをご利用のお客さまがこの脅威を軽減するために追加の対応を行う必要はありません。
F5 Silverline
F5 Silverlineチームは、該当する脆弱性からお客さまのアプリケーションを保護するために必要な緩和策を実施しています。F5 Silverline SOCは脅威を継続的に監視し、F5の脅威リサーチチームおよびお客さまと連携して、必要な緩和策と保護対策を適用します。Silverlineチームは、お客さまのAppSecチームの一員として、24時間365日体制で対応します。
Silverlineの設定について具体的なご質問がある場合は、SOC（support@f5silverline.com）までお問い合わせください。Silverlineサービスの詳細については、次のページをご覧ください：https://www.f5.com/products/security/silverline
Threat Stack
F5は最近、Threat Stackを買収し、Threat Stackサービスが提供する高度な検査、検知、レポート機能を新たに加えました。Threat Stackサービスには、rootとしてのサービス起動、シェルから実行されるサービス、権限昇格の試行など、Log4jの侵害を示す可能性のある複数の検知ルールがすでに含まれています。詳細については、こちらのブログ記事をご覧ください。
現在のLog4jの脅威からアプリケーションを保護するだけでなく、異常なアクティビティの検出、コンプライアンスの確保、アプリケーションに関する包括的なインサイトの取得に役立つThreat Stackサービスにご関心がある場合は、担当のF5営業担当者にお問い合わせいただくか、次のサイトをご覧ください：https://www.threatstack.com
Shape Security
脆弱性を悪用しようとする試みの多くは、自動偵察から始まります。そのため、Shape SecurityのAIを活用したBot Defenseは、こうした自動スキャンを排除し、インターネットに公開されたWebアプリケーションでこの脆弱性を発見しようとする攻撃者の試みを困難にする、重要な第一の防御線となります。Shape AI Cloudは、ボットネットを操る攻撃者の絶えず変化する戦術に対応できるよう、ボットによる自動攻撃にほぼリアルタイムで適応します。Shapeの詳細については、以下をご覧ください：https://www.f5.com/products/security/shape-security
最新情報を把握する
F5の緩和策に関する最新情報については、セキュリティアドバイザリ「CVE-2021-44228」、「CVE-2021-4104」、「CVE-2021-45046」をご覧ください。詳細については、以下のリソースをご参照ください。
その他のF5ブログ
- 今すぐLog4jのリスクを軽減し、将来の悪用を阻止する方法 Catherine Newcomb、Navpreet Gill著
- Log4jから得た教訓：修復を急がない（Lori MacVittie著）
F5 Labs
DevCentral
- Log4j2の脆弱性を取り上げるDC Connectsライブショー
- AFMプロトコル検査のカスタムシグネチャによるLog4j（CVE-2021-44228）の緩和
- BIG-IPを使用してApache Log4j2の脆弱性からKubernetesクラスターを保護
NGINX
Threat Stack
今後も、関連する脆弱性についての最新情報を提供し、上記にリソースへのリンクを追加していきます。また、ソフトウェアリリース、セキュリティアラート、その他の重要な更新に関する通知を購読できます。
_______
F5 グローバルセキュリティソリューションアーキテクト担当シニアディレクター、Scott Altman
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。