[긴급][IT 정보] 인터넷 로그기록 프로그램 Log4j 보안패치 조치방안

 

---

 

역사상 최악이라는 보안 취약점이 발견되어 전세계 이슈입니다.
한 보안 CEO의 말에 의하면

"최근 10년간 가장 치명적이고 거대한 취약점이다. 현대 컴퓨터 역사를 통틀어 최악의 보안 결함일 수도 있다."

 

AP통신 보도에 따르면 문제가 지적된 소프트웨어는 오픈소스 로깅 라이브러리 로그4j(log4j)다.

로깅이란 서버 프로그램 등의 유지 관리를 목적으로 동작 상태를 기록으로 남기는 일을 말하는데 사실상 거의 모든 서버가 이 라이브러리를 사용하는 것으로 알려졌다.

이날 발견된 취약점을 공격하면 해커들이 목표 대상 컴퓨터의 모든 권한을 취득할 수 있다.

비밀번호도 없이 서버를 통해 내부망에 접근해 데이터를 약탈하거나 악성 프로그램을 심어 실행시키고 심지어는 자료를 삭제할 수도 있다.

 

 

문제의 원인

log4j2에 있는 JNDL Lookup 기능 떄문에 공격자가 특정 문자를 넣어 LDAP 와 JNDI 관련 정보를 취득할 수 있게 됩니다.이는 웹서버의 디렉터리 구조를 확인하거나 특정 파일명을 알아내어 실행시킬 수 있게 됩니다.

 

일반인들도 영향 있을까?

 

https://www.news1.kr/articles/?4521539 

"역사상 최악"이라는 '아파치 로그4j 2' 사태, 일반인들도 영향 있을까

전문가들에 따르면 이번에 발견된 보안 취약점에 대해 일반 사용자가 별도로 대응할 부분은 없을 것으로 보인다.

 

 

영향을 받는 버전

(기존)

2.0-beta9 ~ 2.14.1 모든버전

 

내용추가(21.12.20)

(신규) Log4j 버전 “1.2”

Log4j 버전  “2.0-beta9 - 2.15.0"

 

해결방안

내용추가(21.12.20)

모든 버전 대상으로 log4j 2.16.0 버전 업데이트를 수행 권고

 

 

(기존)

2.0-beta9 ~ 2.10.0

-jndiLookup 클래스를 경로에서 제거

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/jndiLookup.class

 

2.10 ~ 2.14.1

-log4j2.formatMsgNoLookups 또는 LOG4J_FORMAT_MSG_NO_LOOKUPS 환경변수를 true로 설정

 

제조사 홈페이지를 통해 최신버전(2.15.0)으로 업데이트 적용

 

✅ 패치 : log4j-2.15.0-rc1 (https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc1)

✅ 임시조치 : log4j2.formatMsgNoLookups 설정 후 서버 재시작 

 

 

 

전자정부프레임워크 보안업데이트 긴급공지

 

https://www.egovframe.go.kr/home/ntt/nttRead.do?menuNo=74&bbsId=6&nttId=1838

공지사항 | 표준프레임워크 포털 eGovFrame

 

 

중소SW 보안약점 진단 신청하기

 

https://www.boho.or.kr/main.do

KISA 인터넷 보호나라&KrCERT