事例・2021年
Log4Shell (Apache Log4j の脆弱性)
Log4Shell (Apache Log4j の脆弱性)（英語名 Log4Shell (CVE-2021-44228)）は、ソフトウェア部品 (Java のログ出力ライブラリ)で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。
- 更新
- 供給網
要点
- 侵入口 Log4j 2 の JNDI 機能が攻撃者の用意した LDAP などの接続先を防げず、ログに書かせた文字列から任意のコードを読み込んで実行させられた
- 決定的な失敗 広く使われる部品に重大な欠陥があり、どの製品や機器にその部品が入っているかを各組織がすぐに洗い出せなかった
- 被害 CVSS 3.x の基本値は 10.0 (CRITICAL)。
攻撃の道筋
入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。
- 1侵入口ログに書かせた文字列
Log4j 2 の JNDI 機能が攻撃者の用意した LDAP などの接続先を防げず、ログに書かせた文字列から任意のコードを読み込んで実行させられた。
- 2決定的な失敗広く使われる部品
広く使われる部品に重大な欠陥があり、どの製品や機器にその部品が入っているかを各組織がすぐに洗い出せなかった。
- 3決定的な失敗どの製品や機器
広く使われる部品に重大な欠陥があり、どの製品や機器にその部品が入っているかを各組織がすぐに洗い出せなかった。
- 4被害広範な悪用
CISA は広範な悪用に対応中と公表し、連邦機関に緊急指令 ED 22-02 を出した。
- 1侵入口ログに書かせた文字列
Log4j 2 の JNDI 機能が攻撃者の用意した LDAP などの接続先を防げず、ログに書かせた文字列から任意のコードを読み込んで実行させられた。
- 2決定的な失敗広く使われる部品
広く使われる部品に重大な欠陥があり、どの製品や機器にその部品が入っているかを各組織がすぐに洗い出せなかった。
- 3決定的な失敗どの製品や機器
広く使われる部品に重大な欠陥があり、どの製品や機器にその部品が入っているかを各組織がすぐに洗い出せなかった。
- 4被害広範な悪用
CISA は広範な悪用に対応中と公表し、連邦機関に緊急指令 ED 22-02 を出した。
被害
CVSS 3.x の基本値は 10.0 (CRITICAL)。CISA は広範な悪用に対応中と公表し、連邦機関に緊急指令 ED 22-02 を出した
決定的な失敗
- 1広く使われる部品に重大な欠陥があり、どの製品や機器にその部品が入っているかを各組織がすぐに洗い出せなかった。
経過
2021年12月1日から22日間の記録。軸は日数の平方根で縮めています。
- 2021.12.010日目
公開情報によるとこの頃から悪用が始まった (CISA の注意喚起による)
- 2021.12.065日目
修正版 Log4j 2.15.0 のリリース日 (Apache のリリースノートによる)
- 2021.12.109日目
CVE-2021-44228 が公開された。Apache が CNA として登録した脆弱性情報の公開日を本件の公表日とする。同日 CISA が悪用済み脆弱性の一覧に加えた
- 2021.12.1312日目
2.15.0 の修正が不完全だったことによる CVE-2021-45046 が公開され、2.16.0 が出た
- 2021.12.1716日目
CISA が緊急指令 ED 22-02 を出し、インターネットに面した脆弱な資産の即時修正を連邦機関に求めた
- 2021.12.2322日目
CISA、FBI、NSA と英豪加新の機関が共同の注意喚起 AA21-356A を改訂。資産の洗い出しと隔離を求めた
防げた手立て
番号は攻撃の道筋の図と対応します。
-
ソフトウェア部品表 (SBOM)
効く場所 3 -
依存ライブラリの棚卸し
効く場所 3 -
外向き LDAP 通信の遮断
効く場所 1 -
脆弱性情報の監視と迅速な更新
効く場所 3
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係する手口
収録データにはまだ出ていない
関係するグループ
収録データにはまだ出ていない
出典
- Apache Log4j Security Vulnerabilities Apache Software Foundation
- Apache Log4j 2 Release Notes Apache Software Foundation
- CVE-2021-44228 (NVD) NIST NVD・2021-12-10
- Apache Log4j Vulnerability Guidance CISA
- AA21-356A Mitigating Log4Shell and Other Log4j-Related Vulnerabilities CISA ほか・2021-12-23
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）