log4j 취약점(CVE-2021-44832) 설명 및 대응 방법 log4j 취약점(CVE-2021-44832) 설명 및 대응 방법 가. 취약점 요약 항목 내용 비고 CVE CODE CVE-2021-44832 CVSS 점수 6.6 MEDIUM 취약 대상 log4j 2.0-beta7 ~ 2.17.0 버전 이하 Log4j 2.3.2, 2.12.4 버전 제외 대응 방안 JDK 8 이상 log4j 2.17.1 이상으로 업데이트 log4j 1.x 버전은 2015년에 EOS되었으므로, log4j 2.x 버전으로 업데이트 해야함 JDK 7 log4j 2.12.4 이상으로 업데이트 JDK 6 log4j 2.3.2 이상으로 업데이트 나. 공격 원리 JDBCAppender.class으로 CVE-2021-44228 과 같이, JNDI를 이용한 공격이 가능 ※ 공격 원리는 이전 글 참조(l.. 침해 사고 대응 2022. 1. 9. 22:00
log4j 취약점(CVE-2021-45105) 설명 및 대응 방법 log4j 취약점(CVE-2021-45105) 설명 및 대응 방법 가. 취약점 요약 항목 내용 비고 CVE CODE CVE-2021-45105 CVSS 점수 5.9 MEDIUM 취약 대상 log4j 2.0-alpha1 ~ 2.16.0 버전 이하 Log4j 2.3.1, 2.12.3 버전 제외 대응 방안 JDK 8 이상 log4j 2.17.1 이상으로 업데이트 log4j 1.x 버전은 2015년에 EOS되었으므로, log4j 2.x 버전으로 업데이트 해야함 JDK 7 log4j 2.12.4 이상으로 업데이트 JDK 6 log4j 2.3.2 이상으로 업데이트 JDK 5 이하 PatternLayout 변경 또는 삭제 나. 공격 원리 # curl server -H ‘X-Api-Version: ${${::-${::.. 침해 사고 대응 2022. 1. 9. 21:17
log4j 취약점(CVE-2021-4104) 설명 및 대응 방법 log4j 취약점(CVE-2021-4104) 설명 및 대응 방법 가. 취약점 요약 항목 내용 비고 CVE CODE CVE-2021-4104 CVSS 점수 7.5 (High) 취약 대상 log4j 1.x 버전 모두 JMSAppender를 사용하지 않는 경우 취약점 영향 없음 대응 방안 JDK 8 이상 log4j 2.17.0 이상으로 업데이트 log4j 1.x 버전은 2015년에 EOS되었으므로, log4j 2.x 버전으로 업데이트 해야함 JDK 7 log4j 2.12.3 이상으로 업데이트 JDK 6 log4j 2.3.1 이상으로 업데이트 JDK 5 이하 JMSAppender.class 제거 ※ log4j : 프로그램 작성 중 로그를 남기기 위해 사용되는 자바 기반의 오픈소스 유틸리티. 나. 공격 원리 lo.. 침해 사고 대응 2022. 1. 9. 20:20
log4j 취약점(CVE-2021-45046) 설명 및 대응 방법 log4j 취약점(CVE-2021-45046) 설명 및 대응 방법 가. 취약점 요약 항목 내용 비고 CVE CODE CVE-2021-45046 CVSS 점수 9.0(Critical) 취약 대상 log4j 2.0-beta9 ~ 2.15.0 이하 Log4j 2.3.1, 2.12.2, 2.12.3 버전 제외 대응 방안 JDK 8 이상 log4j 2.17.0 이상으로 업데이트 log4j 1.x 버전은 2015년에 EOS되었으므로, log4j 2.x 버전으로 업데이트 해야함 JDK 7 log4j 2.12.3 이상으로 업데이트 JDK 6 log4j 2.3.1 이상으로 업데이트 JDK 5 이하 JndiLookup.class 제거 나. 공격 원리 CVE-2021-44228 취약점에 대응한 2.15 버전의 불완전성을 노.. 침해 사고 대응 2022. 1. 9. 19:52
log4j 취약점(CVE-2021-44228) 설명 및 대응 방법 log4j 취약점(CVE-2021-44228) 설명 및 대응 방법 가. 취약점 요약 항목 내용 비고 CVE CODE CVE-2021-44228 CVSS 점수 10(Critical) 취약 대상 log4j 2.0-beta9 ~ 2.14.1 이하 Log4j 2.3.1, 2.12.2, 2.12.3 버전 제외 대응 방안 JDK 8 이상 log4j 2.17.0 이상으로 업데이트 log4j 1.x 버전은 2015년에 EOS되었으므로, log4j 2.x 버전으로 업데이트 해야함 JDK 7 log4j 2.12.3 이상으로 업데이트 JDK 6 log4j 2.3.1 이상으로 업데이트 JDK 5 이하 JndiLookup.class 제거 나. 공격 원리 본 취약점을 이용한 공격은 2단계로 이루어지며, 그 과정은 아래와 같다. .. 침해 사고 대응 2022. 1. 9. 16:51
