Log4Shell（ログフォーシェル）
2021年12月9日公開のApache Log4j 2リモートコード実行脆弱性CVE-2021-44228。CVSS 10.0最大級。
概要
Log4Shellは、Apache Software Foundation製のJava用ロギングライブラリApache Log4j 2.x（バージョン2.0-2.14.1）の重大なリモートコード実行（RCE）脆弱性CVE-2021-44228で、CVSS v3.1スコア10.0（最高値）という極めて重大な評価が付与された。2021年12月9日（日本時間12月10日午前）に中国アリババ・クラウドのセキュリティ研究員Chen Zhaojun（陳兆軍）が公表、JNDI（Java Naming and Directory Interface）経由でLDAP・RMI等の外部URLを評価する機能を悪用、攻撃者制御サーバから任意のJavaコードをロードして実行可能、結果としてLog4j 2を利用するJavaアプリケーションのリモート完全制御が可能となる。Log4j 2は世界中のJavaアプリで広範に採用（Spring Boot・Apache Tomcat・Apache Solr・Elasticsearch・Minecraft Java版・Steam等）されており、影響範囲は「インターネット全体のJava基盤」と表現された。Apple iCloud・AWS Lambda・Cloudflare・IBM Cloud・Twitter・Tesla・Steam・Tencent等、世界主要IT企業のすべてが影響を受け、JenniferGill（米国家安全保障局CISA）は「過去10年で最も重大な脆弱性」「今までに見た最悪の脆弱性」と評価した。修正版Log4j 2.15.0（2021年12月10日）は別の脆弱性CVE-2021-45046（CVSS 9.0）を含み、Log4j 2.16.0（2021年12月13日、JNDI完全無効化）→ さらにLog4j 2.17.0（CVE-2021-45105、12月18日）→2.17.1（CVE-2021-44832、12月28日）と4回の緊急パッチが連続提供される史上前例のないインシデント対応となった。米CISAは2021年12月10日に緊急指令ED 22-02を発令、米連邦機関に対しすべてのLog4j脆弱性の影響調査・パッチ適用を義務化、FDAは医療機器・製薬システムのLog4j影響調査を指示するなど、業界・政府・民間全方位での対応が展開された歴史的セキュリティイベント。
主な特徴・仕組み
- CVE: CVE-2021-44228（Log4Shell）
- CVSS v3.1: 10.0（最高値）
- 影響バージョン: Log4j 2.0-beta9 〜 2.14.1
- 公開日: 2021年12月9日（GMT）/12月10日（JST）
- 報告者: Chen Zhaojun（中国アリババ・クラウド）
- 悪用方式: JNDI経由LDAP/RMI評価でリモートコード実行
- 影響範囲: 世界のJavaアプリケーション基盤全体
- 主要影響企業: Apple/AWS/Cloudflare/IBM/Microsoft/Twitter/Tesla/Steam/Minecraft
- 修正版: Log4j 2.15.0→2.16.0→2.17.0→2.17.1（4回連続パッチ）
- CISA指令: ED 22-02（2021年12月10日緊急発令）
スペック比較表
| 脆弱性 | CVE | CVSS | 影響 | 重大度 |
|---|---|---|---|---|
| Log4Shell | CVE-2021-44228 | 10.0 | 全Javaアプリ | 史上最大級 |
| Heartbleed | CVE-2014-0160 | 7.5 | OpenSSL全SSL/TLS | 重大 |
| Shellshock | CVE-2014-6271 | 10.0 | bash 25年存在 | 重大 |
| EternalBlue | CVE-2017-0144 | 8.1 | Windows SMB | 重大 |
| Spectre | CVE-2017-5753 | 5.6 | 全CPU | 中規模 |
具体例・対応製品
- Log4j 2.0-beta9 ～ 2.14.1: 全脆弱（2014年-2021年12月8日）
- Log4j 2.15.0（2021年12月10日）: Log4Shell修正、CVE-2021-45046残存
- Log4j 2.16.0（2021年12月13日）: JNDI完全無効化
- Log4j 2.17.0（2021年12月18日）: CVE-2021-45105修正
- Log4j 2.17.1（2021年12月28日）: CVE-2021-44832修正
- 影響 Apple iCloud Java services: 12月10日緊急パッチ適用
- 影響 Cloudflare: WAFルール緊急配布、12月10日6時間で全顧客保護
- 影響 Minecraft Java Edition: 12月10日緊急アップデート
- CISA緊急指令ED 22-02（2021年12月10日）: 米連邦全機関対応義務
自作PCでの選び方・注意点
Log4ShellはサーバーサイドJavaアプリケーションが主影響、自作PC個人ユーザー直接の影響は限定的だが、Minecraft Java版（影響Bedrock版除く）・Steam Client等で間接影響あり。現代の対策として、Log4j 2.x使用JavaアプリはLog4j 2.17.1以降または2.x系最新版にアップデート必須、JNDI Lookup無効化（log4j2.formatMsgNoLookups=true）も補助的対策。サプライチェーンセキュリティ強化として、SCA（Software Composition Analysis）ツール（Snyk・Dependabot・OWASP Dependency-Check）による脆弱依存ライブラリ自動検出が業界標準化された。Log4Shell事件はOSS（オープンソースソフトウェア）の透明性とリスクを改めて浮き彫りにし、SBOM（Software Bill of Materials）+サプライチェーンセキュリティ+SLSA framework等の取り組みを加速させた重要な転換点。
関連用語との違い
Heartbleed（2014年4月、CVE-2014-0160、CVSS 7.5）はOpenSSLの脆弱性で「TLS/SSL基盤の信頼性」に大打撃、Log4ShellはJavaログ基盤に影響でレイヤーが異なる。Shellshock（2014年9月、CVE-2014-6271、CVSS 10.0）は同じCVSS 10.0だがbash脆弱性でLinux/Unix系のみ影響、Log4ShellはJava全プラットフォーム影響でより広範。EternalBlue（2017年、Windows SMB脆弱性）はワーム化拡散と組み合わさったが、Log4Shellは単体エクスプロイトで影響範囲が異なる。
よくある質問（FAQ）
Q1: なぜCVSS 10.0最高値？ A: ①インターネット越しに認証なしで攻撃可能、②任意コード実行（最も深刻なペイロード）、③攻撃容易性が極めて高い、④影響範囲がJavaアプリ全体と極めて広い、の4要素全てが最高値であり、CVSSの全評価軸で最高評価となりました。
Q2: なぜ4回連続パッチ？ A: 初期パッチ2.15.0は急いで作成されたためCVE-2021-45046（DoS）残存、2.16.0でJNDI完全無効化したが2.17.0でCVE-2021-45105（DoS）対応、2.17.1で最終CVE-2021-44832対応。緊急対応の難しさと包括的修正の必要性を示す事例です。
Q3: なぜLog4j 2が広く採用されていた？ A: 2014年リリースのLog4j 2はApacheライセンスで無料・高機能・高性能、Log4j 1.x（2015年8月EOL）の後継として10年間Javaエコシステムの事実上標準に。Spring Boot等のフレームワークが暗黙的依存していたため、開発者が直接利用していなくても影響を受けるケースが多発しました。
まとめ
- 2021年12月9日公開・CVE-2021-44228 CVSS 10.0
- Apache Log4j 2.x JNDI悪用RCE脆弱性
- 全世界Javaアプリ基盤が影響範囲
- Apple/AWS/Cloudflare等主要IT全社緊急対応
- SBOM/SLSA/サプライチェーン強化の起点