この記事では、オンプレミスの ePO と log4j の脆弱性に関する補足情報を SB10377 に提供します。

関連する CVE には次のものが含まれます。

• CVE-2021-44228
• CVE-2021-45046
• CVE-2021-45105
• CVE-2021-44832

log4j の脆弱性に対する製品の影響に関する正式な回答は、SB10377 -「Log4Shell」の McAfee Enterprise 製品のステータス (CVE-2021-44228, CVE-2021-4104, CVE-2021-45046, CVE-2021-45105) で入手できます。

log4shell のマルウェア カバレッジに関する情報は、KB95091 - McAfee Enterprise 製品 Apache Log4j CVE-2021-44228 Remote Code Execution への対応 にあります。

Hotfix リリースの詳細
可能な限り迅速に対応するために、log4j をインクリメントする ePO 用の 2 つの Hotfix がリリースされました。 これらの Hotfix は両方とも、ePO 5.10 Update 12 のリリースで不要になったため、ダウンロード サイトから削除されました。

ePO バージョン	リリース 日付	Log4j バージョン	アドレス指定された CVE	コメント
ePO 5.10 Update 12	1 月 11 日 2022 年	2.17.1	CVE-2021-44228 CVE-2021-45046 CVE-2021-45105
ePO 5.10 Update 11 Hotfix 2	12 月 21 日 2021 年	2.17.0	CVE-2021-44228 CVE-2021-45046 CVE-2021-45105	使用できません。 ePO 5.10 Update 12 に代わりました。
ePO 5.10 Update 11 Hotfix 1	12 月 16 日 2021 年	2.16.0	CVE-2021-44228	使用できません。 ePO 5.10 Update 11 Hotfix 2 に代わりました。

重要:

• 両方の Hotfix は、ePO 5.10 update 11 にのみインストールできました。
• 修復 機能を ePO 5.10 Update 11 で使用する前に、両方の Hotfix を手動で削除する必要がありました。
• いずれかの Hotfix を適用したかどうかに関係なく、ePO 5.10 Update 12 を適用できます。

よくある質問（FAQ）

ePO 5.10 Update 11 Hotfix 1 をインストールした場合、ePO 5.10 Update 12 にアップグレードする必要がありますか？
はい。 ePO 5.10 Update 11 Hotfix 1 は CVE-2021-44228 に対応していますが、CVE-2021-45046 または CVE-2021-45105 には対応していません。

ePO 5.10 Update 11 Hotfix 2 をインストールした場合、ePO 5.10 Update 12 にアップグレードする必要がありますか？
必須ではありませんが、可能です。 ePO は CVE-2021-44832 に対して脆弱ではないため、ePO 5.10 Update 11 Hotfix 2 と ePO 5.10 Update 12 の間で追加の脆弱性は対処されていません。 ePO が CVE-2021-44832 に対して脆弱でない理由に関するドキュメントについては、 KB95123 - ePolicy Orchestrator サステイニング ステートメント (SSC2112291) - Log4j の脆弱性への対応 CVE-2021-44832 を参照してください。

ePO が CVE-2021-44832 に対して脆弱でない場合、ePO 5.10 Update 12 が log4j バージョン 2.17.1 を提供するのはなぜですか？
Log4j への対応中に、Hotfix のリリースを累積的な更新リリースでフォローアップすることが決定されました。 このアップデートでは log4j のみがインクリメントされ、リリース時に利用可能な最新のビルドが提供されました。

ePO 5.10 Update 11 Hotfix 1 または 2 を適用した場合、Update 12 を適用する前にそれらを削除する必要がありますか？
いいえ。Hotfix を適用すると、バックアップしたファイルを削除できます。 オプションですが、必須ではありません。
Hotfix のリリース ノートで推奨されているのと同じファイル名を使用していると仮定すると、Update 12 以降を適用した後、以下のファイルを安全に削除できます。

• log4j-1.2-api-2.14.1.jar.bak
• log4j-1.2-api-2.14.1.jar.sig.bak
• log4j-api-2.14.1.jar.bak
• log4j-api-2.14.1.jar.sig.bak
• log4j-core-2.14.1.jar.bak
• log4j-core-2.14.1.jar.sig.bak
• log4j-1.2-api-2.16.0.jar.bak
• log4j-1.2-api-2.16.0.jar.sig.bak
• log4j-api-2.16.0.jar.bak
• log4j-api-2.16.0.jar.sig.bak
• log4j-core-2.16.0.jar.bak
• log4j-core-2.16.0.jar.sig.bak

注: 上記のすべてのファイルがあるとは限りません。 Hotfix 1、Hotfix 2、またはその両方を適用したかどうかによって異なります。

脆弱性スキャナーがエージェント ハンドラーに 1 つ以上の log4j 脆弱性に対して脆弱であるとフラグを立てるのはなぜですか？
ePO サーバーに適用するのと同じ累積更新パッケージが、エージェント ハンドラーの更新に使用されます。 このパッケージには、アプリケーション サーバーを更新するための log4j ライブラリのコピーが含まれています。 エージェント ハンドラーに更新を適用すると、パッケージ全体の内容が \Updater フォルダーにコピーされます。 これらの JAR ファイルの存在は、スキャナーが検出しているものです。 これらのファイルはハンドラーによって使用されないため、スキャン結果を無視するか、ファイルを削除することができます。

Update 12 を適用した後、脆弱性スキャナーが ePO サーバーに log4j の脆弱性に対して脆弱であるとフラグを立てるのはなぜですか？
ePO サーバーに更新を適用すると、更新パッケージ全体が \Updates フォルダーにコピーされます。 この場所には、log4j JAR ファイルも含まれている場合があります。 ePO は、log4j ライブラリを \Server\Lib フォルダーからのみロードします。 ePO が使用しない他の場所にある log4j JAR ファイルのコピーはすべて削除できます。 しかし、ePO の日常業務以外の潜在的な欠点がないわけではありません。

この表は、ファイルの場所とそれらを削除する際の潜在的な問題の概要を示しています。 この表は、デフォルトの ePO インストール ディレクトリを使用することを前提としています。

ファイルの場所	JAR ファイル 削除 または 名前変更できますか？	潜在的な影響
C:\Program Files (x86)\McAfee\ePolicy Orchestrator\Server\	いいえ	ePO が機能しません。 Tomcat サービスが開始されないか、正しく初期化されない可能性があります。
C:\Program Files (x86)\McAfee\ePolicy Orchestrator\Updates\	はい	更新ツールのロールバックおよび修復機能が失敗する可能性があります。
C:\Program Files (x86)\McAfee\ePolicy Orchestrator\Installer\	はい	ePO インストールの修復が失敗する可能性があります。

注: 上記のパスには、参照されるパス内のサブフォルダーが含まれます。

ePO 5.10 Update 12 を適用する前または後に、SB10377 で ePO 用に文書化された以前に公開された緩和手順を削除する必要がありますか？
いいえ。ePOの緩和策はそのままにしておくことができます。ePO に悪影響を与えることはありません。 それらを削除したい場合は、その手順が SB10377 -「Log4Shell」の McAfee Enterprise 製品のステータス (CVE-2021-44228, CVE-2021-4104, CVE-2021-45046, CVE-2021-45105) に記載されています。

CVE-2021-44228, CVE-2021-4104, CVE-2021-45046, CVE-2021-45105 は ePO 5.10 Update 10 以前に適用されますか？ そうでない場合、なぜですか？
どの CVE も ePO 5.10 Update 10 以前には適用されません。 CVE-2021-44228, CVE-2021-45046, CVE-2021-45105 の場合、これらの脆弱性は log4j 2.x にのみ適用されるのに対し、ePO 5.10 Update 10 以前は log4j 1.2 を使用するためです。 CVE-2021-4104 は log4j 1.2 に適用されますが、JMSAppender が実装されている場合にのみ脆弱になります。 ePO は JMSAppender を実装していません。