“Log4j用ワクチン”登場 脆弱性を利用して修正プログラムを実行

簡単な方法で任意のプログラムを実行できてしまうとして12月10日ごろからIT系企業で騒動になっている、Apacheソフトウェア財団のJava向けログ出力ライブラリ「Apache Log4j」（Log4j）の脆弱性。そんな中、“ワクチン”のようにこの脆弱性を修正するプログラムを、米情報セキュリティ企業Cybereasonが12月11日（日本時間）にGitHubで公開した。 Log4jには「JNDI Lookup」という機能があり、これを悪用すると外部のサーバに置いた任意のプログラムを標的に読み込ませ、実行させられる。対策としては、JNDI Lookup機能を停止する必要がある。Cybereasonが公開した修正プログラム「Logout4Shell」は、この脆弱性を使って「JNDI Lookup機能を停止させた状態でLog4jを再構築するプログラム」を実行させることで問題を修正するというもの。

[kazkun]

ワクチンと称して、ワクチンの動きプラス何かをするプログラムがセキュリティホールやバックドアを残していく、まで想像した。

[kamei_rio]

ボットネットのボット獲得競争で、競争相手が使う脆弱性を塞いで自分のボットを守る話に似ていなくもない

[deep_one]

「任意のコードが実行できる」と出た時に「パッチも実行できる」って反応した人が結構いたから（笑）

[bamch0h]

こんな解決策があろうとはｗ

[Mash]

任意コード過ぎる

[shikiarai]

勝手に直すことができるレベルでなんでもできるって相当だなと思いつつ任意コード実行ってそういうことだよなと再認識

[lHMaUyzK]

必死だな

[kazema_tsu]

改修が必要で実施してる中、ユーザが勝手にワクチン打ち込んできたらそれは大迷惑では

[takeim]

いいのかそれ？

[Cald]

他の脆弱性が現れるかもしれないから、まだ当てないでおこう()

[kkobayashi]

面白いがいいのかそれw

[kz78]

任意コードを実行できる脆弱性を使ってパッチをあてるアイデアは面白い。