긴급) Apache Log4j 2 웹서비스 긴급 보안패치 권고

보안패치 미 조치시 악성코드 감염 등 피해발생 우려

과학기술정보통신부는 Apache Log4j 2 서비스에 대한 보안취약점이 발견됨에 따라 긴급 보안업데이트를 권고하였습니다.
관련 취약점을 공격자가 악용할 경우 악성코드 감염 등의 피해를 발생 시킬 수 있으므로 아래 보호나라 보안공지에 따라 긴급하게 보안조치를 해줄 것을 당부하였습니다.

KISA 인터넷 보호나라&KrCERT

- 보호나라 보안공지 확인 경로 : (KISA)KISA 보호나라 → 자료실 → 보안공지→ 1614번 보안공지

Log4j란 기업 홈페이지 등 인터넷 서비스 운영-관리 목적의 로그기록을 남기기 위해 사용하는 프로그램으로 업데이트를 수행하지 않을 경우, 취약점을 악용해 공격자가 원격에서 공격코드를 실행시킬 수 있어 심각한 피해를 입을 수 있으므로 Log4j를 이용하는 경우 신속하게 업데이트를 적용해야합니다.
- 아파치재단은 해당 취약점을 해결한 보안 업데이트 발표(12월 6일)

이에, 과기정통부는 보호나라 홈페이지를 통해 즉시 보안 업데이트를 당부하였고(12월11일), 기반시설, ISMS 인증기업(758개사), CISO(23,835명), C-TAS(328개사), 클라우드 보안인증 기업(36개사), 웹호스팅사(477개사), IDC (16곳) 등을 대상으로 긴급 전파하였고 해당서버를 사용하는 기업들에게도 신속한 조치를 강조했습니다.

관련 보안취약점 조치에 대한 자세한 사항은 보호나라 홈페이지 보안공지를 참고하고 국번없이 118로 상담을 요청하면 조치 여부 등을 자세하게 안내받을 수 있습니다.

 

Apache Log4j 2 보안 업데이트 권고

- Apache 소프트웨어 재단은 자사의 Log4j 2에서 발생하는 취약점을 해결한 보안 업데이트 권고
- 공격자는 해당 취약점을 이용하여 악성코드 감염 등의 피해를 발생시킬수 있으므로, 최신 버전으로 업데이트 권고

주요 내용

- Apache Log4j 2에서 발생하는 원격코드 실행 취약점(CVE-2021-44228)
- 프로그램 작성 중 로그를 남기기 위해 사용되는 자바 기반의 오픈소스 유틸리티

영향을 받는 버전

- 2.0-beta9 ~ 2.14.1 모든버전

해결방안

2.0-beta9 ~ 2.10.0
- JndiLookup 클래스를 경로에서 제거 : zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

2.10 ~ 2.14.1
- log4j2.formatMsgNoLookups 또는 LOG4J_FORMAT_MSG_NO_LOOKUPS 환경변수를 true로 설정

제조사 홈페이지를 통해 최신버전(2.15.0)으로 업데이트 적용

기타 문의사항

- 한국인터넷진흥원 사이버민원센터 : 국번없이 118