Tenable ブログ
ブログ通知を受信する
Log4Shell に対するホットパッチにより Amazon Web Services に脆弱性が生じる
Amazon Web Services は、脆弱性「Log4Shell」対策として 12 月にリリースされたホットパッチにより生じた脆弱性を修正しました。
背景
4 月 19 日、Palo Alto の Unit 42 の研究者は、CVE-2021-44228 (Log4Shell) 対策として Amazon Web Services (AWS) が提供したホットパッチに 4 件の脆弱性が含まれていることを開示しました。以下の CVE が割り当てられていますが、CVE-2022-0070 と CVE-2022-0071 は、2021 年 12 月に最初に開示された脆弱性、CVE-2021-3100 と CVE-2021-3101 は CVE-2022-0070 と CVE-2022-0071 を対処するためのパッチで発見された脆弱性に対して割り当てられたものです。
| CVE | 説明/対策 | CVSSv3 |
|---|---|---|
| CVE-2021-3100 | Apache Log4j ホットパッチサービスを悪用して権限を昇格させる脆弱性 | 8.8 |
| CVE-2021-3101 | ホットパッチソリューション Hotdog を悪用して権限を昇格させる脆弱性 | 8.8 |
| CVE-2022-0070 | ホットパッチサービスを悪用して権限を昇格させる脆弱性 | 8.8 |
| CVE-2022-0071 | ホットパッチソリューション Hotdog を悪用して権限を昇格させる脆弱性 (不完全な修正) | 8.8 |
分析
12 月 12 日、脆弱性「Log4Shell」対策として、AWS はオープンソースのホットパッチをリリースしました。これは、より堅牢な修正されたバージョンがデプロイされるまで大規模に実装できる短期的な緩和プログラムで、さまざまな環境に適用できます。これらのホットパッチは、脆弱な Java アプリケーションを検出し、「オンザフライ」でパッチを適用します。
Unit 42 の研究者によると、スタンドアロンサーバー、Kubernetes クラスタ、Elastic Container Service (ECS) クラスタ、Fargate の Log4Shell に対応するために開発されたホットパッチソリューションには、「深刻なセキュリティ問題」が含まれていました。これらのホットパッチは、AWS 環境に限らず他のクラウド環境やオンプレミス環境にも適用できます。
これらの脆弱性は、「[ホットパッチが適用された] 環境のすべてのコンテナ」で悪用され、コンテナエスケープに悪用されたり、ホストを危険にさらす可能性があります。また、この脆弱性により、実行する権限のないプロセスで権限を昇格させ、root としてコードを実行させることができます。脆弱性は設定に依存せず、ほとんどの AWS 環境で悪用される可能性があります。
解決策
以下は、ホットパッチソリューションの概要です。
| ソリューション | 修正済みバージョン | リリース |
|---|---|---|
| Amazon Linux (AMI) | 1.1-16 | log4j-cve-2021-44228-hotpatch |
| Kubernetes | 1.1-16 | kubernetes-log4j-cve-2021-44228-node-agent Daemonset |
| Bottlerocket | 1.02 | hotdog-v1.0.2 |
影響を受けているシステムの特定
これらの脆弱性を識別する Tenable プラグインのリストは、こちらからご覧いただけます。
Tenable.cs のユーザーは、Open Policy Agent Rego を使用して kubernetes-log4j-cve-2021-44228-node-agent ホットパッチデーモンセットを介して脆弱な Kubernetes デプロイメントを検出できます。Rego は画像のバージョンをチェックします。「v0.0.12-debian」の場合は、対応する configmap を見つけて、daemonset ジョブがクラスタにインストールする実際のパッケージバージョンをチェックします。Tenable.cs が修正バージョン (1.1-16) を検出しない場合、製品はアラートを表示します。
詳細情報
- CVE-2021-3100、CVE-2021-3101、CVE-2022-0070 および CVE-2022-0071 に関する AWS セキュリティページ
- Palo Alto Unit 42 ブログ記事
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する Tenable、初の Cyber Exposure Platform の詳細情報をご覧ください。
今すぐ Tenable.io Vulnerability Management の 30 日間無料トライアルをお試しください。
関連記事
CVE-2022-28219: Proof-of-Concept Published for Unauthenticated RCE in Zoho ManageEngine ADAudit Plus
June 30, 2022New information and technical details, including a proof-of-concept have been published for a remote code execution flaw in Zoho ManageEngine ADAudit Plus that was patched last month.
OT:ICEFALL Research from Forescout Explores Insecure-by-Design State of Operational Technology
June 23, 2022The latest research from Forescout’s Vedere Labs explores the state of risk management in operational technology through the lens of 56 insecure-by-design vulnerabilities.
Microsoft Azure Synapse Pwnalytics
June 13, 2022Since March 10, Tenable Research has attempted to work with Microsoft to address two serious flaws in the underlying infrastructure of Azure Synapse Analytics.
- Cyber Exposure
