Log4Shell (Apache log4j2のRCE脆弱性)

サードパーティのロギングフレームワークで一般的に使用されている、Apache Log4jでいくつかの重大な脆弱性が発見されました。これらの脆弱性はCVE-2021-44228やCVE-2021-45046の名前が付けられ、一般的にはLog4Shellと呼ばれます。

これらの脆弱性の重要な部分は、影響を受ける環境に、悪意のあるユーザーが任意のテキストやデータをシステムログに導入することができる点です。これにより、悪意のあるユーザーはソフトウェアのサーバーサイドでリモートで実行される任意のコードを送信できる可能性があり、サービスへのアクセスや改ざん、害を与えることができます。

この脆弱性の技術的な詳細や推奨される修正案はApache Log4jのwebサイトで確認できます。

RapidMinerデプロイメントにどう影響するか

RapidMiner StudioやRapidMiner AI Hubのコアコンポーネントには、これらの脆弱性の影響はありません。この脆弱性を悪用される恐れがあるのは、RapidMiner Radoop(Hadoopシステムとの統合を行うエクステンション)とRadoop Proxy(Radoopとクラスタ間の通信を単純にする、Hadoopクラスタ内で実行されるプロキシコンポーネント)のみです。

可能性は非常に少ないですが、理論的にはRadoopエクステンションが使用されずロードされているだけでも、この脆弱性が実施される可能性があります。

RapidMinerでは、すぐにこれら二つのRadoopコンポーネントへのパッチを開発し公開しました。

環境にRadoopをもつすべてのユーザーは、以下の手順に従ってこの脆弱性から保護することを強く推奨します。

脆弱性の修正方法

RapidMiner StudioでRadoopを使用している場合

単純にStudioを起動し、拡張機能 –> マーケットプレイス (更新と拡張機能)に向かいます。

Radoopがパッチのバージョン(Studioのバージョン9.7以前を使用している場合はRadoopのバージョン9.7.2を探し、そうでない場合はバージョン9.10.2以降)に更新されているか確認します。

インストールのみで使用していない場合でもRadoopを更新することをおすすめします。

AI HubでRadoopを使用している場合

脆弱性を修正するために、Radoopエクステンションをパッチのバージョンに更新する必要があります。

使用しているRapidMiner AI Hubのバージョンによって、Radoopエクステンションをダウンロードするバージョンが異なります。

バージョン9.7以前のRapidMiner AI Hubの場合、Radoopバージョン9.7.2を使用します。
バージョン9.8以降のRapidMiner AI Hubの場合、Radoopバージョン9.10.2を使用します。

Radoopエクステンションを更新するには、以下の手順に従います。

エクステンションをダウンロードします。
エクステンションをAI HubデプロイメントにあるRapidMinerホームフォルダにコピーします(表示されるアドバイス通り、rmx_rad.jarを上書きします)。
エクステンションがAI Hubデプロイメント内の全てのジョブエージェントで同期されるように、RapidMiner Serverコンポーネントを再起動します。再起動したくない場合は、私たちのAPIを通して中心的なリソース管理機能をトリガーすることができます。

Radoop Proxy(スタンドアロン)を使用している場合

Radoop Proxyの推奨される(dockerコンテナベースの)デプロイメントを使用しておらず、ネットワークのエッジノードでスタンドアロンとして実行している場合は、最初にパッチのバージョンをダウンロードする必要があります。

スタンドアロンのRadoop Proxyの更新方法

ダウンロードしたZIPファイルを解凍します。
以前インストールしたRadoop Proxyのバージョンから設定を移行します。
マシンで実行していたRadoop Proxyの旧バージョンを停止します。
新しいバージョンを起動します。

詳細はスタンドアロンのRadoop Proxyのインストールについて詳細に述べているドキュメントのページをご覧ください。