悪用続く「Log4Shell」脆弱性、「VMware Horizon」への攻撃を確認–CISA

今回は「悪用続く「Log4Shell」脆弱性、「VMware Horizon」への攻撃を確認–CISA」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Javaのログ出力ライブラリー「Apache Log4j」に存在する「Log4Shell」という脆弱性は、何カ月も前にパッチが公開されているため、対処されていて当然ともいうべきものだ。しかし、そうしたパッチが適用されていないシステムも依然として残されており、そのようなシステムは、企業ネットワークにアクセスしようとするハッカーらによって悪用され続けている。

 米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)と沿岸警備隊サイバー部隊(Coast Guard Cyber Command:CGCYBER)は米国時間6月23日、脆弱性を抱えたLog4jのバージョンを実行しているVMwareの「VMware Horizon」と「VMware Unified Access Gateway(UAG)」サーバーの管理者に対し、パッチの適用を勧告する共同セキュリティアドバイザリー(AA22-174A)を発出した。VMwareのUAGは、従業員が遠隔地からHorizonの仮想デスクトップとそのアプリにセキュアなかたちでアクセスできるようにする製品だ。

 これらVMware製品はいずれも、Log4Shell脆弱性(CVE-2021-44228)を抱えていた。この脆弱性は、2021年12月にApache Software Foundation(ASF)のLog4jの保守担当者によって公表されたものだ。そしてVMwareは、同月から2022年1月にかけて同社製品向けのパッチをリリースしている。

 この脆弱性の名前にShell(シェル)という単語が含まれている理由は、同脆弱性を悪用することで攻撃者は、Log4jを利用しており、インターネット上に公開されているデバイスを遠隔地から制御するシェルを入手できるためだ。

 同アドバイザリーには、「影響を受けるシステムを有しているものの、利用可能なパッチや回避策をすぐに適用しなかった組織は、侵入されているという前提の下、脅威の追跡活動を開始するようCISAとCGCYBERは推奨する」と記されている。

 CISAとCGCYBERによると、攻撃者はこの脆弱性を悪用して、標的の災害復旧用ネットワークにアクセスし、水平移動に必要となる管理者認証などの情報を盗み出していたという。

 また両機関は同アドバイザリーで「2021年12月以降、複数の脅威アクターが、インターネット上に公開され、パッチが適用されていないVMware HorizonとUAGサーバーに対して、Log4Shell脆弱性を悪用してきている」と警告している。

 両機関は「この攻撃の一環として、持続的標的型(APT)攻撃を遂行していると考えられる脅威アクターは、侵入したシステムに対して、遠隔地からコマンドを投入して処理を実行できるC&C機能を搭載した実行ファイルを埋め込んだローダーマルウェアを送り込んでいた。あるケースでは、こういったAPTアクターはネットワーク内を水平移動し、災害復旧用ネットワークへのアクセス権を得て、機密データを収集、流出させていた」と記している。

 オープンソースのコンポーネントであるLog4jはASFによってメンテナンスされており、VMwareやCisco Systems、IBM、Oracleといった多くのベンダーのソフトウェアやデバイスで幅広く用いられている。

 Log4Shellは、その影響を受けるエンドユーザー組織やデバイスメーカー、サービスが広範に及んでいるため、パッチの適用が難しいと考えられていた。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
サステナビリティー経営のITソリューションはERPベンダーに有利か
IT関連
2022-04-28 22:28
期限の制約なく無料で提供される「Free Tier」クラウドサービスまとめ、主要クラウド/PaaS編(2024年版)
AWS
2024-06-10 12:48
NFL、「Kaggle」でコンペ開催–選手のケガ防止に向け
IT関連
2022-12-10 01:49
ロシア、国内でのフェイスブックへのアクセスを部分的に制限すると発表
IT関連
2022-02-27 15:33
部屋にロボホンがいる「ロボホンルーム」宿泊プラン発売 持ち出して一緒に観光もできる
くらテク
2021-04-28 04:41
スマートマグの先を見据えるEmberが元ダイソンのトップをコンシューマー部門CEOに指名
ハードウェア
2021-02-15 15:31
シスコ、早稲田大学の「オープンイノベーションバレー構想」を支援
IT関連
2021-03-11 01:45
中国EduTech企業、政府による突然の大ナタで行き詰まり
IT関連
2021-06-29 13:55
スマホを臨床的に認められた血圧計にするアプリをSiri開発者と科学者の「Riva Health」が開発中
ヘルステック
2021-04-05 12:15
サムスンの最新フォルダブル「Galaxy Z Fold3」はスタイラス対応、防水仕様、アンダーディスプレイカメラ追加
ハードウェア
2021-08-13 06:48
企業の海外進出で高まる翻訳需要–DeepLから見た日本市場
IT関連
2024-02-20 00:34
フリー、マルチチャネルフォーム「Ask One」導入–展示会でのリード獲得に
IT関連
2024-08-31 15:38
イオン銀行、日立のソリューション活用で共通アプリケーション基盤構築
IT関連
2023-12-02 16:29
物流の「2024年問題」解決に向け、官民が取り組むアイデアとは
IT関連
2023-09-12 03:23