Apache Log4jにおける任意のコードが実行可能な脆弱性について

アライドテレシス株式会社
公開 2021.12.16
更新 2022.06.15

 アライドテレシス製品は、以下の脆弱性には該当致しません。

1) 脆弱性の概要

　 JavaベースのオープンソースのロギングライブラリのApache Log4jには、任意のコード
   実行の脆弱性（CVE-2021-44228）があります。

   Apache Log4jが動作するサーバーにおいて、遠隔の第三者が本脆弱性を悪用する細工
   したデータを送信することで、任意のコードを実行される可能性があります。

   https://jvn.jp/vu/JVNVU96768815/

2) 対象製品

   なし

3) 詳細

   アライドテレシス製品における現行のソフトウェアサポート対象バージョンでは、
   Apache Log4jを実装していない、またはApache Log4jを実装しているが
   脆弱性の影響を受けないような作りになっているため、本脆弱性には該当致しません。

   ■ Apache Log4j を実装していない

   ・AlliedWarePlus 搭載製品全般
   ・AlliedWarePlus 以外のスイッチ製品全般
   ・AlliedWarePlus 以外のルーター製品全般
   ・AT-VST-APL、AT-VST-VRT
   ・AlliedView NMS Standard Edition
   ・無線LAN製品全般
   ・AT-SESC、AMF Security
   ・メディアコンバーター製品全般

   ■ Apache Log4j のライブラリがインストールされているが、本脆弱性が修正された
      バージョンである

   ・AT-Vista Manager EX（Ver.3.9.0 以降）

   ■ 脆弱性に該当するバージョンの Apache Log4j のライブラリがインストールされて
      いるが、使用していない

   ・AT-Vista Manager EX（Ver.3.0.3 〜 Ver.3.8.0）

   ■ 脆弱性に該当するバージョンの Apache Log4j のライブラリがインストールされ、
      限定的に使用されているが、実装上脆弱性による攻撃を受けないような作りになっている

   ・AT-Vista Manager EX（Ver.3.0.2 以前）
     ※ 3.0.2以前のバージョンはソフトウェアサポートを終了しております。