Log4j 2 보안 취약점

Log4j

• Java 기반 Logging Utility
• 확장성, 가독성, 성능 등 측면에서 향상된 Log4j 2
• Log4j 2가 Log4j 1과 호환되지 않지만 Adapter를 사용할 수 있다.

 

Log4j 2의 ZeroDay ACE 취약점

• 취약점(CVE-2021-44228) 해결을 위해 Log4j 2.15.0으로 업데이트
• JNDI Name이 제한되지 않아 원격 코드 실행을 허용할 수 있어 보안에 취약해졌다. 
  • JNDI: 디렉터리 서비스의 데이터와 객체를 Discover & Lookup하기 위한 Java API 
  • 취약점 방지를 위해: Default 프로토콜을 Java, Idap, Idaps로 제한하며, Idap는 Localhost에서 제공된 자바 기본 개체에만 접근하도록 허용한다.
• 2.15.0 업데이트가 불가능한 경우 조치 방법
  • 2.10 이상 시스템 property log4j2.formatMsgNoLookups 또는 환경 변수 LOG4J_FORMAT_MSG_NO_LOOKUPS의 값을 true로 변경
  • 2.7~2.14.1 PatternLayout을 %m에서 %m{nolookups}로 지정
  • 2.0-beta9~2.10.0 ClassPath에서 JndiLookup 클래스를 제거 (zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class)

 

---

REF

 

Log4j - 위키백과, 우리 모두의 백과사전

Log4j – Apache Log4j 2

[긴급] 거의 모든 서버가 위험하다! 매우 치명적인 ‘로그4j’ 보안 취약점 발견