CVE-2021-44228 Apache Log4j の脆弱性に関するBizRobo! への影響と対応方法について

フォローする

attention_MyBizRobo.png

根本的な対応を実施していただくため、BizRobo! PORTAL へ差し替え用の パッチ(log4j ライブラリ)と適用手順書を公開いたしました。
内容をよく確認のうえ、手順に従い対応をご実施頂けますようお願いいたします。

事象

脆弱性の内容

log4j の 2.15.0より前の2系バージョンを使用している場合に、遠隔の第三者が任意のコマンドを実行できる可能性がある。
  ※詳細な情報についてはこちらを参照ください。

 

BizRobo! への影響

ver.10.X : 以下2つのケースで対応要否が分かれます。
       ・Robot File System(※1)を使用していない場合:
         log4jの1系を使用しているため、影響はありません
       ・Robot File System(※1)を使用している場合:
         本脆弱性への対応が必要です。対応方法をご確認のうえ、設定を適用ください。
ver.11.1 : 本脆弱性への対応が必要です。対応方法をご確認のうえ、設定を適用ください
DX Base :log4jを利用していないため、影響はありません

 

発生条件

BizRobo! のver.11.1.Xを利用していること。
ver.11.1.0.4およびver.11.1.0.6をご利用中のユーザーが対象です。


BizRobo! のver.10.Xを利用しており、かつRobot File Systemを使用していること。
ver.10.7.Xをご利用中のユーザーが対象となる可能性があります。
ver.10.4以前のバージョンについてはRobot File System機能が存在しないため全て対象外となります。

 

対処方法(2021/12/17 更新)

根本的な対応を実施していただくため、差し替え用の パッチ(log4j ライブラリ)と適用手順書を公開いたしました。
下記 My BizRobo! のリンクより、 パッチ(log4j ライブラリ)と適用手順書をダウンロードしていただき、内容をよく確認のうえ、手順に従い対応をご実施頂けますようお願いいたします。

 

対処方法(2021/12/13公開)

以下、2021/12/16 まで案内させていただいていたパラメータ変更の内容になります。
差し替え用の パッチ(log4j ライブラリ)適用いただければ、下記のパラメータ変更は不要です。
既に実施していただいている場合、差し替え用の パッチ(log4j ライブラリ)適用いただき、変更されたパラメータは元に戻す必要はありません。

Robo Server, Design Studioにおけるcommon.conf、
Tomcat環境のManagement Consoleにおけるlog4j2.properties、
Tomcat環境のRobot File Systemにおけるlog4j2.properties

に対し、以下に記載の設定を追加することで、本脆弱性への対応が可能です。

①Robo Server, Design Studio
  1.common.confの末尾に以下設定を追記する
   wrapper.java.additional.<n>=-Dlog4j2.formatMsgNoLookups=true
   ※<n>は空き番の任意の数字。
    括弧は不要であるため除外してください。

  2.Robo Serverのサービス、Design Studioを再起動する

  common.confのパスは以下の例を参考にしてください
  C:\Program Files\BizRobo Basic [バージョン]\bin

サンプル
mceclip0.png
 
②Management Console, Robot File System
  1.log4j2.propertiesの末尾に以下設定を追記
   formatMsgNoLookups=true
  2.Tomcatのサービスを再起動する

  log4j2.propertiesのパスは以下の例を参考にしてください
  Management Console : [Tomcatインストールフォルダ]\webapps\mc\WEB-INF\classes
  Robot File System   : [Tomcatインストールフォルダ]\webapps\rfs\WEB-INF\classes

ポータルサイトで公開されているWindows用Tomcat構築作業手順書に沿った構築がされている場合、
デフォルトのTomcatインストールフォルダは、C:\Program Files\Apache Software Foundation\Tomcat [バージョン]になります。
例:C:\Program Files\Apache Software Foundation\Tomcat 8.5

サンプル
mceclip1.png

 

common.conf, log4j2.propertiesの両方に共通するファイル更新時の補足

ユーザー様の環境や、設定を行う際のユーザーアカウントの種類により、
直接ファイルの更新および保存ができない場合がございます。
その場合は、以下の手順にてファイルの更新をお試しください。

  • 修正対象のファイルを一旦任意の別のフォルダにコピーする
  • 上記対応方法に従ってファイルを修正し、保存する
  • 修正したファイルを元のフォルダに貼り付け
  • この時管理者権限の認証を求められるのでWindowsアカウントの管理者IDとパスワードを入力する

 

注意事項

  • BizRobo! BasicやBizRobo! miniなど、ご利用頂いておりますサービスを問わず、
    Management Console、Robo Server、Design Studioのいずれかを使用している場合、
    該当するアプリケーションにおいて上記の対応をご実施ください。
  • BizRobo! Launcherについてはlog4jライブラリを使用していないため影響はありません。
  • 既に環境構築済みのユーザー様に置かれましては、
    改めて設定値の追記とサービス等の再起動が必要になります。
  • (※1)Robot File Sytem は、BizRobo! Basic 10.7 で追加された機能です。
    機能の詳細は、My BizRobo! の新機能紹介の資料をご確認ください。
    My BizRobo! _10.7.0.x 新機能紹介
    利用有無については、Tomcat の webapps フォルダ配下に rfs フォルダが展開されている場合、
    ご利用になっていることになります。
    例)
     C:\Program Files\Apache Software Foundation\Tomcat 8.5\webapps\rfs
区分 発生Ver 改修ID 修正Ver
不具合 10.7.X, 11.1.0.4 - -