悪用続く「Log4Shell」脆弱性、「VMware Horizon」への攻撃を確認--CISA

　Javaのログ出力ライブラリー「Apache Log4j」に存在する「Log4Shell」という脆弱性は、何カ月も前にパッチが公開されているため、対処されていて当然ともいうべきものだ。しかし、そうしたパッチが適用されていないシステムも依然として残されており、そのようなシステムは、企業ネットワークにアクセスしようとするハッカーらによって悪用され続けている。

　

　米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）と沿岸警備隊サイバー部隊（Coast Guard Cyber Command：CGCYBER）は米国時間6月23日、脆弱性を抱えたLog4jのバージョンを実行しているVMwareの「VMware Horizon」と「VMware Unified Access Gateway（UAG）」サーバーの管理者に対し、パッチの適用を勧告する共同セキュリティアドバイザリー（AA22-174A）を発出した。VMwareのUAGは、従業員が遠隔地からHorizonの仮想デスクトップとそのアプリにセキュアなかたちでアクセスできるようにする製品だ。

　これらVMware製品はいずれも、Log4Shell脆弱性（CVE-2021-44228）を抱えていた。この脆弱性は、2021年12月にApache Software Foundation（ASF）のLog4jの保守担当者によって公表されたものだ。そしてVMwareは、同月から2022年1月にかけて同社製品向けのパッチをリリースしている。

　この脆弱性の名前にShell（シェル）という単語が含まれている理由は、同脆弱性を悪用することで攻撃者は、Log4jを利用しており、インターネット上に公開されているデバイスを遠隔地から制御するシェルを入手できるためだ。

　同アドバイザリーには、「影響を受けるシステムを有しているものの、利用可能なパッチや回避策をすぐに適用しなかった組織は、侵入されているという前提の下、脅威の追跡活動を開始するようCISAとCGCYBERは推奨する」と記されている。

　CISAとCGCYBERによると、攻撃者はこの脆弱性を悪用して、標的の災害復旧用ネットワークにアクセスし、水平移動に必要となる管理者認証などの情報を盗み出していたという。

　また両機関は同アドバイザリーで「2021年12月以降、複数の脅威アクターが、インターネット上に公開され、パッチが適用されていないVMware HorizonとUAGサーバーに対して、Log4Shell脆弱性を悪用してきている」と警告している。

　両機関は「この攻撃の一環として、持続的標的型（APT）攻撃を遂行していると考えられる脅威アクターは、侵入したシステムに対して、遠隔地からコマンドを投入して処理を実行できるC＆C機能を搭載した実行ファイルを埋め込んだローダーマルウェアを送り込んでいた。あるケースでは、こういったAPTアクターはネットワーク内を水平移動し、災害復旧用ネットワークへのアクセス権を得て、機密データを収集、流出させていた」と記している。

　オープンソースのコンポーネントであるLog4jはASFによってメンテナンスされており、VMwareやCisco Systems、IBM、Oracleといった多くのベンダーのソフトウェアやデバイスで幅広く用いられている。

　Log4Shellは、その影響を受けるエンドユーザー組織やデバイスメーカー、サービスが広範に及んでいるため、パッチの適用が難しいと考えられていた。