log4j ホットパッチ (`log4j-cve-2021-44228-hotpatch`) の削除

フォーカスモード

log4j ホットパッチ (log4j-cve-2021-44228-hotpatch) の削除 - Amazon Linux 2023

AL2023 は log4j-cve-2021-44228-hotpatch パッケージに含まれていません。

CVE-2021-44228 に応答して、Amazon Linux は AL1 および AL2 用の Apache Log4j 用 Hotpatch の RPM パッケージバージョンをリリースしましたAL2。Amazon Linux へのホットパッチの追加に関する発表の中で、「ホットパッチのインストールは、CVE-2021-44228 または CVE-2021-45046 を軽減する log4j バージョンへの更新に代わるものではない」ことが示されています。

ホットパッチは、log4j へのパッチ適用までの時間を確保するための緩和策でした。AL2023 の最初の一般提供 (GA) リリースは CVE-2021-44228 の 15 か月後だったため、AL2023 にはホットパッチ (有効化されているかどうかにかかわらず) が含まれていません。

Amazon Linux で独自のlog4jバージョンを実行しているユーザーは、CVE-2021-44228 または CVE-2021-45046 の影響を受けないバージョンに更新されていることを確認する必要があります。

AL2023 では、AL2023 の更新でセキュリティパッチを最新の状態に保つためのガイダンスを提供しています。セキュリティアドバイザリは Amazon Linux セキュリティセンターで公開されています。