注：OPSWAT 、追加情報が入り次第、このブログ記事を更新し続けている。
Update — De c. 24, 2021 — 12:30 PM EST
我々は、CVE-2021-44228を取り巻く更新と開発を監視し続ける中で、Apache Log4j2のバージョン2.0-alpha1から2.16.0（2.12.3を除く）が、サービス拒否を引き起こす可能性のある自己参照ルックアップからの制御されない再帰から保護されない可能性があることを示す、CVE 2021-45105で概説された最近のガイダンスを認識しています。
現時点では、このアップデートによって、CVE 2021-44228に関して現在公表または通知されている緩和策が変更されるとは評価していません。
変更が発生した場合、または評価が変更された場合は、引き続きブログでお知らせします。
その他、ご質問やご不明な点がございましたら、サポートチャンネルまでお問い合わせください。
Update — De c. 15, 2021 — 5 PM EST
私たちは、CVE-2021-44228 を取り巻く更新と進展を監視し続けていますが、CVE 2021-45046 で概説された、特定のデフォルトでない構成における Apache log4j 2.15.0 の不完全な修正に対処する最近のガイダンスについて認識しています。
現時点では、CVE 2021-44228に関して現在公開されている緩和策に変更があるとは評価していません。
変更が発生した場合、または評価が変更された場合は、引き続きブログでお知らせします。
その他、ご質問やご不明な点がございましたら、サポートチャンネルまでお問い合わせください。
更新 - 2021年12月14日 - 2 PM EST
OPSWAT は、log4jの脆弱性の影響を受ける可能性のあるすべてのOPSWAT 製品の完全な分析を完了し、OPSWAT 製品またはサービスの安全な使用に影響を与える暴露は確認されていません。
MetaDefender AccessCloud、My OPSWAT、MetaDefender NAC お客様には、製品の推奨事項や構成についてお知らせし、このブログで更新しています。現時点では、製品の推奨事項や構成が他の製品に適用されることはありません。
その他、ご質問やご不明な点がございましたら、サポートチャンネルまでお問い合わせください。
更新 - 2021年12月13日 - 5 PM EST
私たちは、OPSWAT のすべてのテクノロジーとパッケージをレビューし、このエクスプロイトに対する潜在的な脆弱性がないかどうかを確認しています。
My OPSWAT (OCM)がApache log4jライブラリを依存関係の1つとして使用していることが判明しましたが、OPSWAT 、現時点ではOPSWAT 製品やサービスの安全な使用に影響を与えるようなlog4jの脆弱性への暴露は確認されていないことに留意してください。
We do recommend customers running OCM version 7.16 or earlier, to upgrade to version 7.17 or newer, and apply a recommended configuration change to mitigate this specific exploit and others that might target the JNDI related log4j capabilities in the future. The mitigation configuration change instructions can be found in this knowledge base article.
ご不明な点がございましたら、カスタマーポータルにてサポートケースを作成し、お知らせください。
変更が生じた場合、評価が変更された場合は、引き続き電子メールとブログでお知らせします。
更新 - 2021年12月13日 - 12 PM EST
CVE-2021-44228（別名log4jの脆弱性）に関して我々が取っている措置に関する2021年12月12日の更新以来、我々はすべてのOPSWAT テクノロジーとパッケージを積極的にレビューし、このエクスプロイトに対して潜在的に脆弱なものがあるかどうかを判断している。
以下は、log4jエクスプロイトのリスクを軽減するために私たちがすでに取った措置です：
- MetaDefender AccessCloudです：攻撃者が脆弱なサーバーを制御することを可能にするApache log4jロギングライブラリに発見されたゼロデイ脆弱性（CVE-2021-44228）のため、私たちは、慎重を期して、この特定のエクスプロイトおよび将来的にJNDI関連のLog4j機能をターゲットにするかもしれない他のエクスプロイトの可能性を低減する推奨される設定変更を適用しました。これ以上の対策は必要ありません。これは、ユーザーへの影響なく完了しました。
他のOPSWAT 技術やパッケージが潜在的に脆弱である可能性があると判断した場合、必要な構成の変更または更新と同様に、影響を受けるすべての顧客にその旨を通知します。
この更新の時点で、OPSWAT 、現時点では、OPSWAT の製品またはサービスの安全な使用に影響を与えるような log4j の脆弱性への暴露は確認されていないことに留意してください。
この評価が変更された場合は、影響を受けるお客様に直接更新します。
この特定の脆弱性についてもっと知りたい場合は、NISTの報告書に加えて、SANS Internet Storm CenterがSANS Internet Storm Centerで包括的な概要を発表しています。我々は、米国東部標準時の午後5時にレビューのアップデートを提供する予定です。
Update — December 12, 2021 — 9:45 PM EST
2021年12月10日（金）、log4jと呼ばれるjavaベースのソフトウェアの一般的なコンポーネントにおいて、これまで知られていなかったゼロデイ脆弱性（CVE-2021-44228）が積極的に悪用されているというニュースを、他の技術コミュニティとともに受け取った。
Since notification, we have been actively reviewing all OPSWAT technologies and packages to determine if any are potentially vulnerable to this exploit. Please know this review continues and should we determine that any OPSWAT technology or package could potentially be vulnerable we will notify all affected customers of such as well as any required configuration changes or updates.
We are working through this review as quickly as we can. It is important to note that as of this time, OPSWAT has not assessed any material exposure to the log4j vulnerability that would impact the safe use of any OPSWAT products. Should this assessment change, we will update any affected customers directly.
12月13日12:00PM（米国東部時間）にレビューの更新を行います。それまでにご不明な点やご質問がございましたら、サポート・チャンネルまでご連絡ください。
この特定の脆弱性についてさらに詳しく知りたい場合は、NISTの報告書に加え、SANS Internet Storm Centerが包括的な概要をSANS Internet Storm Centerで公開している。
今後ともお引き立てのほど、よろしくお願いいたします！
