Log4J 2 보안 취약점 이슈(CVE-2021-44228)

Log4J 2 보안 취약점 이슈(CVE-2021-44228)

Log4 J 2v

Apache Log4j 2*에서 발생하는 원격코드 실행 취약점(CVE-2021-44228)

Log4J 2에서 보안취약점이 발생했다.

취약점에 해당 하는 버전은 log4j 2.0-beta9 ~ 2.14.1 버전까지다.

(만일 버전이 1이라면 해당사항이 없다.)

해결방법

o 2.0-beta9 ~ 2.10.0

- JndiLookup 클래스를 경로에서 제거 : zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

o 2.10 ~ 2.14.1

- log4j2.formatMsgNoLookups 또는 LOG4J_FORMAT_MSG_NO_LOOKUPS 환경변수를 true로 설정

o 제조사 홈페이지를 통해 최신버전(2.15.0)으로 업데이트 적용 권고

Log4J 2 진단키트

레브라도라는 사이트에서 Log4Shell을 체크할 수 있는 툴을 제공하고 있다.

java -jar LabradorLog4ShellDetector.jar -project [path]

cmd 창에서 위의 명령어로 사용중인 프로젝트(jar파일)을 검사해보면

유무를 알 수 있다.

cmd 창에서 탐지하는 방법 : 보안 이슈가 없을 때는 No Log4j affected by CVE-2021-44228 was found. 라고 뜸

참고

아이오티큐브, ‘Log4Shell’ 점검 도구 긴급 무료 배포 - 보안뉴스

https://www.docker.com/blog/apache-log4j-2-cve-2021-44228/

Apache Log4j 2 보안 업데이트 권고 - 보호나라

[긴급] Log4J 보안 업데이트 긴급공지 - 전자정부표준프레임워크

from http://dd00oo-dev.tistory.com/61 by ccl(A) rewrite - 2021-12-13 10:02:20