インスタンスをアップグレードした後も MID サーバーホスト上で検出される脆弱性 (Log4j、Java など) - Support and Troubleshooting

インスタンスをアップグレードした後も MID サーバーホスト上で検出される脆弱性 (Log4j、Java など) Issue この記事では、アクティブな MID サーバーがインスタンスのバージョンに対応した Log4j および OpenJDK の適切なパッチバージョンを使用していることを確認し、古いインストールやバックアップフォルダーに残っている古いバージョンのファイルを特定して削除する方法を説明します。 目次 MID サーバーと Log4j 脆弱性に関する詳細情報 最近のリリースで予想される log4j、SLF4J、Reload4j、OpenJDK バージョン、および古い残りファイル JAR ファイルバージョンの確認 OpenJDK バージョンの確認 すべてのアクティブな MID サーバーを特定する サービスとファイルの検索 MID サーバーファイルの削除/アンインストール MID サーバーと Log4j 脆弱性に関する詳細情報 この記事では潜在的な脆弱性そのものについては詳しく説明しません。詳細は KB1000959 を参照してください。 最近のリリースで予想される log4j、SLF4J、Reload4j、OpenJDK バージョン、および古い残りファイル インスタンスをアップグレードし、MID サーバーも正常にアップグレードされている場合、現在使用されているファイルのバージョンは以下のとおりです。

この記事の執筆時点 (2022 年秋) では、すべてのインスタンスが log4j の 2.17.1 バージョンにアップグレードされているはずです。このリストは、主に、古いバージョンのファイルが非アクティブなインストールからのものであることを確認する一環として、どの ServiceNow リリース由来のファイルであるかを確認するためのものです。

重要な注意: log4j-to-slf4j.jar と log4j-over-slf4j.jar は変換用ラッパーであり log4j API への従来のコード呼び出しを、代わりに SLF4J へリダイレクトできるようにします。これらは、MID サーバーが Log4j を必要としないようにするために使用されました。以下のリストから、同じ関数が含まれている問題のある log4j-core.jar が log4j-to-slf4j.jar に置き換えられたため、依存関係は壊れていませんが、代わりにすべて SLF4J にリダイレクトされていることがわかります。

Reload4j に関する注意: reload4j プロジェクト は Apache log4j.jar バージョン 1.2.17 のフォークであり、最も差し迫ったセキュリティ問題を修正するための log4j.jar のドロップイン代替品です。

ServiceNow Version Log4j files SLF4J files Reload4j files Java files log4j.jar log4j-core.jar log4j-to-slf4j.jar log4j-slf4j-impl.jar log4j-api.jar log4j-over-slf4j.jar reload4j.jar OpenJDK Calgary, Dublin, Eureka, Fuji, Geneva, Helsinki, Istanbul, Jakarta 1.2.8, 1.2.15, 1.2.17 Not included Not included Not included Not included Not included Not included 6u14, 6u45, 8u40, 8u60 Kingston, London 1.2.17 Not included Not included Not included Not included Not included Not included 1.8.0_152 Madrid, New York, Orlando 1.2.17 Not included Not included Not included Not included Not included Not included 1.8.0_181 Paris, Orlando Patch 3, New York Patch 8 1.2.17 Not included Not included Not included Not included Not included Not included 1.8.0_232 Quebec 1.2.17 Not included Not included Not included 2.11.1 Not included Not included 11.0.8 Quebec Patch 10, Quebec Patch 9 Hot Fix 3, Not included 2.16.0 Not included 2.16.0 2.16.0 1.7.30 Not included 11.0.8 Quebec Patch 10 HotFix 1, Quebec Patch 9 Hot Fix 4a, Quebec Patch 9 Hot Fix 3b Not included 2.17.1 Not included 2.17.1 2.17.1 1.7.30 1.2.18.2 11.0.8 Rome Not included 2.14.0 Not included 2.14.0 2.14.0 1.7.30 Not included 11.0.9.1 Rome Patch 6, Rome Patch 5, Rome Patch 4 Hot Fix 1 Not included 2.16.0 Not included 2.16.0 2.16.0 1.7.30 Not included 11.0.9.1 Rome Patch 7, Rome Patch 6 Hot Fix 1, Rome Patch 4 Hot Fix 1b Not included 2.17.1 Not included 2.17.1 2.17.1 1.7.30 1.2.18.2 11.0.9.1 San Diego Not included 2.16.0 Not included 2.16.0 2.16.0 1.7.30 Not included 11.0.12 San Diego Patch 1 Not included 2.17.1 Not included 2.17.1 2.17.1 1.7.30 1.2.18.2 11.0.12 Tokyo Not included Not included 2.17.1 Not included 2.17.1 1.7.36 Not included 11.0.15 Utah Not included Not included 2.17.1 Not included 2.17.2 1.7.36 Not included 11.0.16.1 Vancouver Not included Not included 2.17.1 Not included 2.17.2 1.7.36 Not included 17.0.5 Xanadu Not included Not included 2.17.1 Not included 2.17.2 1.7.36 Not included 17.0.10 Yokohama Not included Not included 2.17.1 Not included 2.17.2 1.7.36 Not included 17.0.12 Zurich Not included Not included 2.17.1 Not included 2.17.2 1.7.36 Not included 17.0.15 Australia Not included Not included 2.17.1 Not included 2.17.2 1.7.36 Not included 21.0.7 Brazil Not included Not included 2.17.1 Not included 2.17.2 1.7.36 Not included 21.0.11

最初のメジャーバージョンのリリースと、変更されたパッチバージョンのみが表示されます。

JAR ファイルバージョンの確認 JAR ファイルのバージョンを手動で確認するには、agent\lib\log4j-core.jar などの JAR ファイルを解凍し、その中にある META-INF\MANIFEST.MF ファイルを開きます。 注: JAR ファイルは ZIP ファイルに似ており、たとえば 7-Zip で開くことができます。

OpenJDK バージョンの確認 OpenJDK Java Runtime Environment のバージョンを確認するには、 agent\jre\release ファイルを開きます 。

すべてのアクティブな MID Server の特定 インスタンスで、MID サーバーのリストを開きます。[ ホスト名 ] 列と [ ホームフォルダー ] 列をリストに追加します。これらの列は、インストールフォルダーがどこにあるかを示します。

MID Server のステータスが Up の場合はアクティブであり 、インスタンスと同じバージョンである必要があります。稼働中で古いバージョンを使用している場合は、インスタンスと互換性を持たせるようにアップグレードする必要があるため、アップグレードに失敗した理由を調査して解決する必要があります。 MID Server のステータスが Down であっても、最終更新日が非常に新しい日付である場合は、MID サーバーはまだアクティブである可能性がありますが、最近、調査と解決が必要な通信の問題が発生しています。 MID Server が Down ステータスであり 、長い間停止している場合 (最終更新日が数か月前または数年前の場合)、この MID サーバーはもう使用されていないと見なすことができます。アップグレードが必要であることを認識できるのは Up 状態の MID Server のみであるため、多くの場合、停止中の MID サーバーは、最後に使用したときに実行していた古いバージョンのままになります。 インスタンス内の MID サーバーレコードが削除されても 実際には、最初にインストールされていたホストサーバーから MID サーバーがアンインストールされるわけではありません。これを行ったために、いくつかの古いインストールを追跡できなくなった可能性があります。 ホームフォルダーは「agent」フォルダーです 。その中には、スキャン結果のファイルが含まれている可能性のある agent\lib フォルダーと agent\jre フォルダーがあります。 スキャナーが、インスタンス内の MID サーバーのリストから説明できないフォルダー内のファイルを報告する場合、それらは非アクティブなインストールであるか、インストールのバックアップフォルダー、過去の修正中に作成された一時フォルダー、またはセルフアップグレードプロセスによって残された一時フォルダーである可能性があります。これらはすべて削除できます。 サービスとファイルの検索 ホストを知っていても、それ以外はあまり知らない場合は、コマンドラインでサービスを見つけることができます。 wmic service get | findstr /c:"\conf\wrapper.conf" /c:"DisplayName"

サービスとしてインストールされていない古いバックアップフォルダーや一時フォルダーを見つけるには、dir コマンドを使用できます。 dir /s /b mid.jar

Up 状態の MID サーバーレコードを、これらのアクティブなサービスおよびフォルダーと比較すると、何を削除できるかがわかります。スプレッドシートを使用してこれらを追跡し、照合することもできます。

MID サーバーファイルの削除/アンインストール インストールフォルダー (「agent」フォルダー) が現在アクティブな MID サーバー用ではないことを確認したら、Windows サービスを削除してファイルを削除できます。

少なくとも 2 つのインスタンスがあることを忘れないでください。そのため、非アクティブなものの削除を開始することを決定する前に、すべてのインスタンスから、すべてのアクティブな MID サーバーホスト名/ホームフォルダーのリストをコンパイルする必要があります。

Windowsサービスを停止します。 コマンドライン `wmic service get | findstr /c:"\conf\wrapper.conf" /c:"DisplayName"` を実行すると、すべてのMID Serverサービスが出力されます。「Name」フィールドはサービス名を示し、「PathName」フィールドでは、スキャン結果と照合するために、そのサービスがどのインストールフォルダに関連しているかを確認できます。 Windows サービスを削除します。 コマンドライン sc delete を使用してサービスを削除します。 ファイルを削除します。 ホームフォルダー/「agent」フォルダーとその中のすべてを削除できます。 インスタンス内の MID サーバーレコードを削除します Release 上記に記載されているすべてのリリース Resolution .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } 対応は不要です Related Links .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } KB2708775 Java Dependencies and JAR files versions in the MID Server platform

KB0719830 MID Server Java runtime - Information on Bundled and Compatible versions, Upgrading or Replacing

KB1536827 Listing of MID Server lib folder JAR File manifests including Version information (Vancouver EA)

KB1184230 Microsoft Defender gives false alert for Log4j exploitation detected/Apache exploitation detected and Multi-stage incident on MID Server host

KB2633631 Vulnerable JAR file found in extib on MID Server

KB2671535 Java 17.0.15 in Zurich MID Server is not the latest patch