https://blog.alicey.dev/tags/security/Recent content in Security on Alicey's blogHugojaSat, 09 May 2026 07:18:48 +0900https://blog.alicey.dev/2026/05/cve-2026-31431-copyfail-rockylinux10.htmlFri, 01 May 2026 00:47:00 +0900https://blog.alicey.dev/2026/05/cve-2026-31431-copyfail-rockylinux10.html<p><span style="font-family: LINE Seed JP"> こんにちは。</span></p><p><span style="font-family: LINE Seed JP">Twitterで話題の<a href="https://copy.fail/" target="_blank">CVE-2026-31431 CopyFail</a> を実際にRockyLinux10(RHEL10相当)で動かし、対策方法が有効か確認しようと思います。</span></p>https://blog.alicey.dev/2021/12/log4j.htmlSun, 12 Dec 2021 10:31:00 +0900https://blog.alicey.dev/2021/12/log4j.html<p> 最近話題になっているJavaのロギングライブラリLog4jの脆弱性(<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228" rel="nofollow" target="_blank">CVE-2021-44228</a>)を狙う攻撃が我が家のWebサーバ宛にも送られてきたので、分析してみました。</p><p><br></p><h2>送られてきたもの</h2><div>送られてきたリクエストは以下のようなものです。</div><div><br></div><div><a href="https://blog.alicey.dev/2021/12/log4j/img/22ee1901ac5d39fe_hu15625343232484286777.webp" class="lightbox-trigger"> <img src="https://blog.alicey.dev/2021/12/log4j/img/22ee1901ac5d39fe_hu15625343232484286777.webp" alt="" width="1167" height="41" loading="lazy" decoding="async"> </a></div><div>オレンジ: WebサーバIP</div><div>水色：攻撃者グローバルIP</div><div>黄緑：base64文字列の一部マスク</div><div><br></div><div>jndi:ldapという文字列に加え、base64の文字列が渡されています。</div><div><br></div><div>攻撃者IPのロケーションはSt Petersburg, St.-Petersburg, Russia (RU)でした。</div><div><br></div><h2>base64のデコード</h2><div>base64部がどのようなものか、デコードして確認します。</div><div><br></div><div>pyhtonで以下のようなコードを実行しました。</div><div><br></div><div><div>---</div><div>import base64</div><div>print(base64.b64decode(b'base64文字列').decode())</div></div><div>---</div><div><br></div><div>結果は以下のようになっています。</div><div><br></div><div><a href="https://blog.alicey.dev/2021/12/log4j/img/65be116c3fbe6a33_hu18097574838615791500.webp" class="lightbox-trigger"> <img src="https://blog.alicey.dev/2021/12/log4j/img/65be116c3fbe6a33_hu18097574838615791500.webp" alt="" width="852" height="58" loading="lazy" decoding="async"> </a><div>オレンジ: WebサーバグローバルIP</div><div>水色：攻撃者グローバルIP</div></div><div><br></div><div>これを見るとcurlかwgetで文字列を取得し、bashに渡していることがわかります。</div><div>また、パス内に私のWebサーバのグローバルIPアドレスが入っており、相手を識別しているように見えます。</div><div><br></div><div>つまり、攻撃者のサーバに置かれた任意の文字列をbashで実行できてしまうため、何でもやり放題です。Webの書き換え、BotNetに取り込む、踏み台にする etc....</div><div>(未対策のJavaで作られた鯖にアクセスしたくなくなりますね...何が置かれてるかわからない...)</div><div><br></div><h2>curlでアクセスしてみた</h2><div><br></div><div>GCPに捨てインスタンスを立てて、curlでアクセスしてみました。</div><div>が、パスに自身のグローバルIPは使いたくなかったので、0.0.0.0に置き換えています。</div><div><br></div><div><div class="separator"><a href="https://blog.alicey.dev/2021/12/log4j/img/3144a13547e15fcc_hu2983346187876259431.webp" class="lightbox-trigger"> <img src="https://blog.alicey.dev/2021/12/log4j/img/3144a13547e15fcc_hu2983346187876259431.webp" alt="" width="507" height="50" loading="lazy" decoding="async"> </a></div><br>結果はこのようになっており、何も帰ってきませんでした。</div><div>IPを置き換えたことに起因しているのか、偵察的なアクセスで空なのかはわかりません。</div><div>(他の人の情報を見ていると同じ様に何も帰って来ないようだったので、追求しないことにしました。)</div><div><br></div><div><br></div><h2>まとめ</h2><div>今回の検証で、Log4jの脆弱性はかなり簡単にリモートコードを実行できるヤバい奴だということがよくわかりました。みなさんもセキュリティパッチの適応やマメなアップデートの適応、ファイアウォールの設定等を忘れないようにしましょう。</div><div><br></div><div><br></div><div>-追伸</div><div>2021-12-13の攻撃を確認した所、WAF対策と思われる処理をしたリクエストが飛んできていた。</div><div><a href="https://blog.alicey.dev/2021/12/log4j/img/59e22ccd0c138e34_hu2015415441476341491.webp" class="lightbox-trigger"> <img src="https://blog.alicey.dev/2021/12/log4j/img/59e22ccd0c138e34_hu2015415441476341491.webp" alt="" width="1104" height="22" loading="lazy" decoding="async"> </a>よって、WAF等で対策したから大丈夫と安心せず、根本的な脆弱性対策や、権限設定、厳格なFW設定等を組み合わせ、複数の階層で攻撃を止められるような設計(スライスチーズモデル)にしていくことが望ましい。<br><br></div><div><br></div><div><br></div><div>ばいち</div>