log4j 취약점(CVE-2021-4104) 설명 및 대응 방법

log4j 취약점(CVE-2021-4104) 설명 및 대응 방법

 

가. 취약점 요약

항목	내용		비고
CVE CODE	CVE-2021-4104
CVSS 점수	7.5 (High)
취약 대상	log4j 1.x 버전 모두		JMSAppender를 사용하지 않는 경우 취약점 영향 없음
대응 방안	JDK 8 이상	log4j 2.17.0 이상으로 업데이트	log4j 1.x 버전은 2015년에 EOS되었으므로, log4j 2.x 버전으로 업데이트 해야함
	JDK 7	log4j 2.12.3 이상으로 업데이트
	JDK 6	log4j 2.3.1 이상으로 업데이트
	JDK 5 이하	JMSAppender.class 제거

※ log4j : 프로그램 작성 중 로그를 남기기 위해 사용되는 자바 기반의 오픈소스 유틸리티.

나. 공격 원리

log4j 구성이 TopicBindingName 또는 TopicConnectionFactoryBindingName으로 설정되어 있을 경우, JMSAppender가 CVE-2021-44228과 유사한 방식으로 원격코드 실행을 초래하는 JNDI 요청을 수행할 수 있음.

※ 이전 글 참조: 2022.01.09 - [침해 사고 대응] - log4j 취약점(CVE-2021-44228) 설명 및 대응 방법

log4j 취약점(CVE-2021-44228) 설명 및 대응 방법

 

다. 공격 대상

log4j 1.x 버전 모두(JMSAppender를 사용하지 않는 경우 취약점 영향 없음)

 

라. 대응 방안

Java 8 이상 : Log4j 2.17.0 이상 버전으로 업데이트
Java 7 : Log4j 2.12.3 이상 버전으로 업데이트
Java 6 : Log4j 2.3.1 이상 버전으로 업데이트

※ log4j 2.x 버전으로 업데이트가 어려운 경우 JMSAppender.class 제거

- 윈도우 계열: 압축프로그램(알집, 반디집 등)을 이용하여 log4j-*.jar 의 JMSAppender.class 제거

- 유닉스 계열: zip -q -d log4j-*.jar org/apache/log4j/net/JMSAppender.class

 

마. 점검 도구(스캐너) 다운로드

2022.01.13 - [침해 사고 대응] - log4j 취약점 점검 도구(스캐너) 정리/다운로드

log4j 취약점 점검 도구(스캐너) 정리/다운로드

 

바. 참고 자료

KrCERT https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36389 

KISA 인터넷 보호나라&KrCERT

CVE https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-4104 

CVE - CVE-2021-4104

NVD https://nvd.nist.gov/vuln/detail/CVE-2021-4104

NVD - CVE-2021-4104