[セキュリティ情報] Apache Log4j脆弱性に関するPowerChute Network Shutdownへの影響とスクリプトによる対策について (2022年1月公開)

このページでは、2021年12月に公開されたApache Software Foundation がオープンソースで提供している Java ベースのロギングライブラリApache Log4j脆弱性について、
PowerChute Network Shutdownへの影響に対する緩和策のスクリプトの実行手順を以下の通りご案内します。

---

[ 重要な更新情報 ]

本脆弱性に関する修正プログラムが提供されています。

本ページで紹介する緩和策ではなく、
[セキュリティ情報] PowerChute Network Shutdown v4.3/v4.4のApache Log4j脆弱性に対する修正プログラム (2022年2月公開)
のページを参照し、修正プログラムを適用することを推奨します。

---

[概要]
Apache Log4jで新たに発見されたゼロデイ脆弱性は悪用されるリスクがあり、攻撃者により任意のコマンドを実行される可能性があります。
本脆弱性に対するエクスプロイトのリスクを回避するため、対象バージョンをお使いのユーザーは本ページで説明しているスクリプト使用による緩和策を適用するか、
スクリプトを使用しない7-Zipでの緩和策 こちら を実施してください。

[本脆弱性の影響を受ける製品とバージョン(v)]
PowerChute Network Shutdown v4.1 ^*1
PowerChute Network Shutdown v4.2 ^*1
PowerChute Network Shutdown v4.3
PowerChute Network Shutdown v4.4

[緩和策]
PowerChute Network Shutdownが使用するJndiLookup クラスをスクリプトを使用してクラスパスから削除します。

注：スクリプトにはPowerChuteサービスの停止と起動の実行が含まれます。

Windows環境でのシステム条件
システムにインストールされているPowerShellバージョン3.0以降、および、.NET Frameworkバージョン4.5.0以降

注：システム条件での環境が利用できない場合は、こちら の7-Zipを使用したスクリプトを使用しない手順を参照してください。

スクリプトの実行手順
1.    Windows.zipファイルをPowerChuteがインストールされているマシンにコピーし、そのマシン上のフォルダーにファイルを展開します。(ここでは c:\temp にコピーしたとします )
2.    管理者権限でコマンドプロンプトを開きます。
3.    ファイルを解凍したフォルダーに移動します。
上記1. で c:\temp コピーした場合は、次のコマンドを実行しフォルダーを次のように変更します。
cd c:\temp
4.    ファイルを展開したフォルダーに移動し、以下のコマンドを実行し、log4jMitigation.ps1ファイル（スクリプト）を実行します。
run_mitigation.cmd
5.    スクリプトの実行後、以下メッセージが表示されたら完了です。
“Log4Shell mitigation applied to PowerChute, starting PowerChute service”

Linux、Unix（Solaris SPARC, HP-UX, AIX）、MacOS 環境でのシステム条件
zip、unzipおよびsedライブラリがターゲットシステムにインストールされている必要があります。これらは、オペレーティングシステムに応じて、yum、zypper、apt-getなどのパッケージマネージャーを使用してアプリケーションをインストールする必要があります。例として、RedHat Linuxでは以下のようにコマンドを実行します。
yum install unzip
yum install zip

スクリプトの実行手順
1.    Linux, Unix, MacOS.zipファイルをPowerChuteがインストールされているマシンにコピーし、そのマシン上の任意のディレクトリにファイルを展開します。
2.    ターミナルプロンプトを開くか、SSH経由でPowerChuteマシンに接続します。
3.    ファイルを展開したディレクトリに変更し、rootユーザーとして、またはsudoを使用して以下を実行します。
chmod +x ./log4jMitigation.sh
./log4jMitigation.sh
4.    スクリプトの実行後、以下メッセージが表示されたら完了です。
“Log4Shell mitigation applied to PowerChute startup script.”

注： JndiLookup.classがlog4j-coreから削除されたかを確認する方法については、こちら を参照してください。


-----------------------------------------------------------------------------------------------------------------------------------------------------

*1 PowerChute Network Shutdown v4.1, v4.2はすでにサポート終了しているバージョンです。
理論的には対策を実施することで解消されますが、弊社では試験やサポートをしていないことを予めご理解ください。

公開先:Schneider Electric 日本