컴퓨터 역사상의 최악의 취약점 발견! 로그 포 제이(Log4j)취약점

컴퓨터 역사상의 최악의 취약점 발견! 로그 포 제이(Log4j)취약점

 

서버에서의 자바 기반의 오픈소스 유틸리티 프로그램 로그4j 에서 최고 위험도 보안 취약점이 발견이 되어서 해킹 위험성 때문에 긴급 공지들이 많이 발송 및 공지가 되고 있습니다.  이 취약점은 오징어 게임의 수많은 패러디 게임으로 유명한 마인크래프트에서 처음 발견이 되어 긴급 패치 등의 배포 및 기관 및 기업의 보안 담당자들의 긴급 보안패치가 시급합니다. 

 

 

로그 포 제이(Log4j) 는 무엇인가?

 

log4j 는 프로그램을 작성하는 도중에 로그를 남기기 위해서 사용이 되는 자바 기반 로깅 유틸리티 이며 주로 디버그용 도구로 주로 사용을 하고 있습니다.

 

서버는 대부분의 자바 소프트웨어에 존재하는 로깅 프레임워크인 Log4j 에서 발견된 이번 원격 코드 실행 취약점(CVE-2021-4422)을 악용을 할 경우 사이버 공격자들은 Log4j를 사용하고 있는 모드 애플리케이션에서 임의의 코드를 실행을 할 수 있는 취약점이 발견이 되었습니다. 대부분의 서버나 PC의 관리자 권한을 빼앗긴 다고 보시면 될 것 같습니다. 

 

 

반응형

 

 

로그 포 제이(Log4j) 조치방법은?

 

취약한 Log4i의 버전은 Log4j 2.0-beta9에서 2.14.1 까지의 모든 버전에 해당이 되어 긴급 업데이트가 필요합니다. 

 

해당 취약점의 해결 방법은 Log4j 2.0-beta9~2.10.0 버전의 경우 JudLookup 클래스를 경로에서 제거(zip -q -d log4j-core-*.jarorg/apache/logging/log4j/core/lookup/JndiLookup.class) 해야 하며 2.10~2.14.1 버전은

 

Log4j2.formatMsgNoLookups 또는 LOG4J_FORMAT_MSG_NO_LOOKUPS 환경 변수를 true 로 설정해야 됩니다. 제조사인 아파치 홈페이지를 통해서 최신버전(2.15.0)으로 업데이를 하실 것을 긴급 추천하여 드립니다.

 

<< 아파치 업데이트 사이트 >>

 

https://logging.apache.org/log4j/2.x/download.html

Log4j – Download Apache Log4j 2

 

 

기타 문의 사항은 : 한국인터넷진흥원 사이버민원센터: 국번 없이 118