Apache Log4j脆弱性に関するPowerChute Business Editionへの影響とスクリプトによる対策について

このページでは、2021年12月に公開されたApache Software Foundation がオープンソースで提供している Java ベースのロギングライブラリApache Log4j脆弱性について、PowerChute Business Editionへの影響に対する緩和策のスクリプトの実行手順を以下の通りご案内します。

*重要な更新情報
本脆弱性を回避したアップデートバージョン（v10.0.5）がリリースされていますので、本ページで紹介する緩和策でなく、v10.0.5へアップデートを推奨します。

[概要]
Apache Log4jで新たに発見されたゼロデイ脆弱性は悪用されるリスクがあり、攻撃者により任意のコマンドを実行される可能性があります。本脆弱性に対するエクスプロイトのリスクを回避するため、対象バージョンをお使いのユーザーは本ページで説明しているスクリプト使用による緩和策を適用するか、こちら で説明している手動での緩和策を実施してください。

[本脆弱性の影響を受ける製品とバージョン(v)]
PowerChute Business Edition v10.0、v10.0.1、v10.0.2、v10.0.3
*v9.x以前のバージョンは影響を受けません。

[緩和策]
PowerChute Business Editionが使用するJndiLookup クラスをスクリプトを使用してクラスパスから削除します。

注：スクリプトにはPowerChuteサービスの停止と起動の実行が含まれます。

Windows環境でのシステム条件
システムにインストールされているPowerShellバージョン3.0以降、および、.NET Frameworkバージョン4.5.0以降

注：システム条件での環境が利用できない場合は、こちら の7-Zipを使用したスクリプトを使用しない手順を参照してください。

スクリプトの実行手順
1.   Windows.zipファイルをPowerChuteがインストールされているマシンにコピーし、そのマシン上のフォルダーにファイルを解凍します。(ここでは c:\temp にコピーしたとします )
2.    管理者権限でコマンドプロンプトを開きます。
3.    ファイルを解凍したフォルダーに移動します。
上記1. で c:\temp コピーした場合は、次のコマンドを実行しフォルダーを次のように変更します。
cd  c:\temp
4.    以下のコマンドを実行します。
mitigate_log4shell.cmd
5.    スクリプトの実行後、"Log4Shell vulnerability is now mitigated." と表示されると完了です。

Linux 環境でのシステム条件
zip、unzip およびsedライブラリがターゲットシステムにインストールされている必要があります。これらは、Linuxオペレーティングシステムに応じて、yum、zypper、apt-getなどのパッケージマネージャーを使用してアプリケーションをインストールする必要があります。例として、RedHat Linuxでは以下のようにコマンドを実行します。
yum install unzip
yum install zip

スクリプトの実行手順
1.    Linux.zipファイルをPowerChuteがインストールされているマシンにコピーし、そのマシン上の任意のディレクトリにファイルを展開します。
2.    ターミナルプロンプトを開くか、SSH経由でPowerChuteマシンに接続します。
3.    ファイルを展開したディレクトリに変更し、rootユーザーとして、またはsudoを使用して以下を実行します。
chmod +x ./PCBE_Mitigate_Log4Shell.sh
./PCBE_Mitigate_Log4Shell.sh

プロンプトが表示されたら、Enterキーを押してPowerChuteがインストールされたディレクトリを選択します。または、インストールディレクトリ（「lib」を含むディレクトリ）へのパスを手動で入力することもできます。

4.    スクリプトの実行後、"Log4Shell vulnerability is now mitigated." と表示されると完了です。

注： JndiLookup.classがlog4j-coreから削除されたかを確認する方法については、こちら を参照してください。