Apacheソフトウェア財団は、JavaによるロギングライブラリApache Log4jの最新バージョンとして、新たに発見された脆弱性「CVE-2021-45105」を修正した、「Apache Log4j 2.17.0」を、12月17日（現地時間）にリリースした。
CVE-2021-45105は、自己参照ルックアップによる制御されていない再帰から保護されないという脆弱性で、攻撃者はこれを利用してスレッドコンテキストマップデータを制御して、指定した任意の文字列が解釈された際にDOS（サービス拒否）を引き起こせる。
脆弱性の影響を受けるバージョンは、2.0-alpha1～2.16.0。
なお、「Log4j 1.x」はこの脆弱性の影響を受けない。また、この脆弱性の影響を受けるのはlog4j-core JARファイルのみであり、log4j-api JARのみを利用し、同ファイルなしで動作するアプリケーションについても、この脆弱性の影響外となる。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営するソフトウェア開発者向けのWebメディアです。「デベロッパーの成長と課題解決に貢献するメディア」をコンセプトに、現場で役立つ最新情報を日々お届けします。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
