[안내] Apache Log4j 취약점 CVE-2021-44228 영향을 받는 Log4j Core

안랩은 Apache Log4j 취약점 보안 업데이트를 권고하고 있다.

Apache Log4j 취약점 정보

취약점

• Log4j 2.x 버전에서 공격자가 로그 메세지를 통해 원격 코드 실행이 가능한 취약점 (CVE-2021-44228, CVSS 10.0) [1]
• Log4j 2.x 버전에서 공격자가 로그 메세지를 통해 서비스 거부 오류(Denied of Service)를 발생시킬 수 있는 취약점 (CVE-2021-45046, CVSS 3.7) [2]
• Log4j 1.2.x 버전에서 공격자가 로그 메세지를 통해 원격 코드 실행이 가능한 취약점 (CVE-2021-4104) [3]

취약점 영향을 받는 버전

• CVE-2021-44228 – Apache Log4j 2.0-beta9 ~ 2.14.1 버전 (Log4j 2.12.2 제외)
• CVE-2021-45046 – Apache Log4j 2.0-beta9 ~ 2.12 및 2.15.0 버전
• CVE-2021-4104 – Apache Log4j 1.2.x 버전

(참고) CVE-2021-45046은 log4j 2.x 버전에서 Pattern Layout에 Context Lookup 또는 Thread Context Lookup 패턴을 사용하는 경우에 발생함
(참고) CVE-2021-4104는 log4j 1.2.x 버전에서 JMSAppender 기능을 사용하는 경우에 발생함​

가장 심각한(CVSS 10.0) 취약점 CVE-2021-44228은 즉시 보안 업데이트가 필요하다. 운용 중인 시스템에 취약한 Log4j Core 라이브러리가 있는지 확인이 필요하다. 아래는 CVE-2021-44228 취약점 영향을 받는 Log4j-Core 버전별 파일 목록이다. 각 버전별 해시는 Log4j 소스코드를 개별 환경에서 직접 빌드 했을 때는 달라질 수 있다.

출처 [1] https://archive.apache.org/dist/logging/log4j/
출처 [2] https://repo1.maven.org/maven2/org/apache/logging/log4j/log4j-core/

Log4j는 Java 기반 환경에서 로그를 남기기 위해 사용되는 대표적인 오픈소스 로깅 라이브러리이기 때문에 그 사용자 수가 매우 많다. 그러나 치명적인 보안 취약점이 있음에도 불구하고 ASEC 분석팀이 고객 환경을 조사한 바에 따르면, 아래와 같이 보안 업데이트가 되지 않은 취약한 Log4j Core를 사용하는 사용자 수가 아직까지 상당히 많다. 이는 외부 접속이 가능한 서버 외에 개인이 사용하고 있는 애플리케이션 또는 프레임워크 환경을 포함한다.

• C:\ghidra\Ghidra\Framework\Generic\lib\log4j-core-2.12.1.jar
• C:\Users\<사용자명>\AppData\Roaming\.minecraft\libraries\org\apache\logging\log4j\log4j-core\2.14.1\log4j-core-2.14.1.jar
• C:\eGovFrame-3.6.0\maven\repository\org\apache\logging\log4j\log4j-core\2.1\log4j-core-2.1.jar
• C:\Apache Software Foundation\Tomcat 8.5\webapps\ROOT_210928\WEB-INF\lib\log4j-core-2.8.2.jar
• D:\<*****>_erp_server\<***>ERP_<*****>\webapps\ROOT\WEB-INF\lib\log4j-core-2.10.0.jar
• C:\Users\USER\AppData\Local\MapTool\app\log4j-core-2.13.0.jar
• C:\<사용자명>\Teamcenter13\tccs\third_party\TcSS\TcSS13.3\jars\log4j-core-2.14.0.jar
• \\<개인서버>\..\..\..\…\<***>project\workspace\.metadata\.plugins\org.eclipse.wst.server.core\tmp0\wtpwebapps\<***>project\WEB-INF\lib\log4j-core-2.11.2.jar
• \Users\<사용자명>\eclipse-server\<*********>\WebContent\WEB-INF\lib\log4j-core-2.11.1.jar

사용자는 사용하는 애플리케이션 또는 프레임워크 환경에서 취약한 Log4j Core 라이브러리가 포함되어있는지 확인하고, 취약한 버전이 있을 경우 즉시 보안 업데이트를 해야 한다.