概要
Zoomでは、CVE-2021-44228、 CVE-2021-45046、CVE-2021-45105、およびCVE-2021-44832で公表されたApache Log4jの脆弱性を特定し、その影響を軽減するため、製品およびサービスの分析を進めてまいりました。Zoomは、Apacheの推奨事項に従い、Log4jの脆弱性のあるバージョンに対する対策と修正を継続しています。特定された脆弱性のあるLog4jインスタンスについては、最新バージョンが利用可能になり、テストを経てから、順次更新していく予定です。
これらの脆弱性への対応は、Zoomにとって最優先事項です。弊社では、状況を注視しており、一日も早く解決できるよう鋭意取り組んでおります。重要な情報が入り次第、このページを更新いたします。
これまでの調査結果に基づき、Zoomの製品およびサービスの現状について、以下にまとめました。
| Zoomの製品とサービス | ステータス |
|---|---|
| Zoomミーティング、Zoomイベント、Zoomウェビナー、OnZoom | Windows、Mac、Linux、iOS、Android、BlackBerry、VDI（およびVDIプラグイン）、およびWebクライアント向けのZoomクライアントでは、脆弱性が確認されているバージョンのLog4jは使用されていません。 現時点では、ユーザーの皆様による対応は必要ありません。 |
| Zoomの制作バックエンド（サードパーティ製の商用ソフトウェアを除く）* | Zoomの生産環境のバックエンド（サードパーティ製の商用ソフトウェアを除く）は、CVE-2021-44228およびCVE-2021-45046で特定された問題に対処するため、Log4jバージョン2.16.0を最低バージョンとして更新するか、または緩和措置が講じられました。Zoomは、CVE-2021-44832およびCVE-2021-45105に関する問題の評価を実施し、悪用に必要な条件を考慮した結果、当社の本番環境のバックエンドには脆弱性がないと判断いたしました。 |
| Zoomの制作バックエンドで使用されているサードパーティ製の商用ソフトウェア | 現在、サードパーティの商用ソフトウェアベンダーとの状況について評価を進めているところです。更新プログラムが提供され次第、適用しており、今後も引き続き適用していく予定です。 Zoomの主要なサードパーティ製ソフトウェアベンダーについては、更新または対策が講じられました。 |
| 政府向けZoom | Windows、Mac、Linux、iOS、Android、BlackBerry、VDI（およびVDIプラグイン）、およびWebクライアント向けのZoomクライアントでは、脆弱性が確認されているバージョンのLog4jは使用されていません。 現時点では、ユーザーの皆様による対応は必要ありません。 |
| Zoom Phone | Zoom Phoneのクライアントでは、脆弱性が確認されているバージョンのLog4jは使用されていません。 現時点では、ユーザーの皆様による対応は必要ありません。 |
| Zoom Rooms と Zoom for Home | Zoom Rooms および Zoom for Home のクライアントでは、Log4j の脆弱性のあるバージョンは使用されていません。 現時点では、ユーザーの皆様による対応は必要ありません。 |
| Zoomチャット | Zoom Chatのクライアントでは、脆弱性が確認されているバージョンのLog4jは使用されていません。 現時点では、ユーザーの皆様による対応は必要ありません。 |
| Zoom マーケットプレイス | バックエンドについては、Apacheが推奨する対策を実施し、これまでに特定されたすべてのシステムについて、Log4jのバージョンを最低でも2.16.0に更新いたしました。現時点では、ユーザーの皆様による対応は必要ありません。 |
| Zoom Developer PlatformのAPI、& 、SDK | ZoomのSDKでは、脆弱性が確認されているバージョンのLog4jは使用されていません。 現時点では、ユーザーの皆様による対応は必要ありません。 |
| Zoomのオンプレミス導入 | Zoom Hybrid MMR、VRC、Meeting Connector、API Connector、およびRecording Connectorでは、脆弱性が確認されているバージョンのLog4jは使用されていません。 |
| 第三者によるサービスの提供 | 現在、提携先各社との状況について評価を進めているところです。 |
| Zoom Phone および Zoom Rooms のデバイスパートナー | Zoom PhoneおよびZoom Roomsのデバイスパートナー各社からは、影響を受けていないことが確認されています。 |
| Zoomアプリ | 当社のサードパーティ製Zoomアプリの開発者からは、脆弱性のあるバージョンのLog4jを使用しているZoomアプリについては、すべて更新または対策が講じられたことが確認されています。 |
編集部注：本速報は、CVE-2021-44228、 CVE-2021-45046、CVE-2021-45105、およびCVE-2021-44832の各脆弱性に対するZoomの対応に関する最新情報を反映するため、2022年1月14日に編集されました。