【バックヤード】Log4jの脆弱性について本ブログサイトの確認結果の報告

　遅ればせながら、Apache Log4j（以後、Log4jと呼ぶ）の脆弱性について、本ブログサイトについて「影響なし」であることを報告します。

　昨年2021年12月10日ごろにLog4jのゼロデイ脆弱性として公開されて、TVニュースでも報道されるという事態がありました。「ゼロデイ」というのは、脆弱性を対策したソフトウェアがリリースされる前の脆弱性ということです。つまり、無防備な状態で攻撃を受ける危険があるということです。

　Log4jというのは、Javaベースのロギングユーティリティというソフトウェアです。その利用が広範に及び、企業のシステムでの利用やこれを利用したアプリケーションソフトウェアなどが多数に上ることから、その影響が甚大ということで報道にまで至ったということです。

　どんな脆弱性かというと、リモートから細工した文字列を送信し、Log4jがログとして記録することで任意のコードを実行する可能性がある、というものです。実際の攻撃方法は、検索すれば解説記事がいくつも出てきますのでそちらを参照ください。

　本ブログはさくらインターネット株式会社のレンタルサーバーを利用しています。レンタルサーバー自身は2021年12月17日に「【重要】Apache Log4j ライブラリの脆弱性における当社サービスへの影響について」というお知らせが公開されています。

　それによると「CVE-2021-4422」（今回の脆弱性）、「CVE-2021-45046」に対して、すべてのサービスについて「影響なし」となっていました。

　また、利用者（会員）側の対応要否についても記載あり、本ブログは以下を利用しており、すべて対応不要となっていました。

　本ブログはCMSとして「WordPress」を使用しています。WordPressはPHPで開発されており、Javaは使用されていないとのことです。

WordPressのバージョン 5.8.3（2021/1/10時点）で最新化しています。

　本ブログで使用しているプラグインは以下の通りです。現時点で最新化しています。これらのプラグインによる脆弱性は確認されていません。今回の脆弱性の点検をきっかけにインストール済みで未使用のプラグインについては、すべて削除しました。