PGR21.com
PGR21.com

✕

24시간 동안 보지 않기
자유 게시판
- 자유 주제로 사용할 수 있는 게시판입니다.
- 토론 게시판의 용도를 겸합니다.
전체 일반 정치
Date 2021/12/11 22:35:31
Name 리노
Link #1 https://news.v.daum.net/v/20211211181030002
Subject [일반] Apache log4j에서 제로데이 취약점이 발견되었습니다. (수정됨)
https://pgr21.co.kr/freedom/94335 삭게로!
어제 오늘 해당 문제 때문에 갑자기 주말 근무를 하시는 분들이 많을것 같습니다.

해당 문제는 간단히 말해서, 대상 서버의 모든 권한을 획득하여 뭐든 할 수 있습니다.
좀 더 정확히 말하자면 JNDI(Java Naming and Directory Interface) 인젝션 취약점으로 이를 이용해 공격자가 직접 요청을 보낸 후 원격 코드를 실행하도록 유도할 수 있습니다.

처음에는 마인크래프트에서 발견되었다고 하고, 마이크로소프트는 즉시 업데이트를 배포 했다고 합니다.

어제 BHC 사이트가 털린 것도 해당 취약점 때문이 아닌가 의심을 하고 있고요. ( 유게 https://pgr21.co.kr/humor/442480 )
slf4j는 괜찮다고 합니다만 그냥 log4j를 쓰시는 분들은 업데이트를 당장 하는게 권고 되고 있습니다.
제로데이 취약점 공개 후 발빠르게 패치가 공개되었기 때문에 큰 기업들은 패치가 적용되고 있습니다만 아닌 곳도 있기 때문에, 혹시 아직까지 체크 못하신 분들이 있다면 빠른 패치가 필요합니다.

보안등급: 10단계
영향 받는 log4j 버전: 2.0 ~ 2.4.1
문제 해결: log4j2.formatMsgNoLookups = true 또는 버전 2.15.0 이상 설치.



관련 문서
"컴퓨터 사상 최악의 취약점 발견됐다".. 전세계 보안업계 '발칵'
- https://news.v.daum.net/v/20211211181030002

KISA: Apache Log4j 2 보안 업데이트 권고
- https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36389

Log4Shell: RCE 0-day exploit found in log4j2, a popular Java logging package
- https://www.lunasec.io/docs/blog/log4j-zero-day/

Oracle Security Alert Advisory - CVE-2021-44228
- https://www.oracle.com/security-alerts/alert-cve-2021-44228.html

Apache Releases Log4j Version 2.15.0 to Address Critical RCE Vulnerability Under Exploitation
- https://www.cisa.gov/uscert/ncas/current-activity/2021/12/10/apache-releases-log4j-version-2150-address-critical-rce

취약점에 영향 받는 서비스들

통합규정 1.3 이용안내 인용

"Pgr은 '명문화된 삭제규정'이 반드시 필요하지 않은 분을 환영합니다.
법 없이도 사는 사람, 남에게 상처를 주지 않으면서 같이 이야기 나눌 수 있는 분이면 좋겠습니다."
닉네임을바꾸다
해시 아이콘
21/12/11 22:38
수정 아이콘
뭐 어떤 의미로는 너무 근본적인 영역이라 하려해도 할게 없을거라는...크크
자바를 쓰면서 저걸 안쓰는 사람이 없으니까...
게임때문에 하는 밴드에서 프로그래머인 사람이...그리 말하더군요 크크
이오니
해시 아이콘
21/12/11 22:39
수정 아이콘
log4j...면 뭐...(...)
DownTeamisDown
해시 아이콘
21/12/11 22:41
수정 아이콘
이건 안쓰는데가 없는데말이죠...
이웃집개발자
해시 아이콘
21/12/11 22:42
수정 아이콘
와 이거 뭐야 뭔데뭔데;;;
좋은데이
해시 아이콘
21/12/11 22:46
수정 아이콘
어이구 log4j네 아....
멜로
해시 아이콘
21/12/11 22:47
수정 아이콘
이미 뚫릴곳은 다 뚫렸을듯요
살려는드림
해시 아이콘
21/12/11 23:01
수정 아이콘
logback이나 slf4j도 사실상 베이스가 log4j라서 걱정했는데 조금 덜어도 괜찮겠네요 ...
씨드레곤
해시 아이콘
21/12/11 23:01
수정 아이콘
한국에서 java로 개발하는 회사가 많은데 파장이 어마어마하겠습니다.
Java에서 원격 바이트 코드 로드하고 실행할 수 있는 위험한 기능을 왜 허용었는지...
라자냐
해시 아이콘
21/12/11 23:27
수정 아이콘
(수정됨) .
씨드레곤
해시 아이콘
21/12/11 23:30
수정 아이콘
slf4j는 추상의 로깅 프레임워크기 때문에 보통 log4j2나 logback중 하나 선택하여 같이 사용합니다.
라자냐
해시 아이콘
21/12/11 23:37
수정 아이콘
(수정됨) .
씨드레곤
해시 아이콘
21/12/11 23:38
수정 아이콘
앗, 감사합니다.
저가 제대로 본문을 다 읽지 않았네요.
씨드레곤
해시 아이콘
21/12/11 23:49
수정 아이콘
(수정됨) hackernews 사이트에 가보니까 slf4j + log4j2 조합에서도 이 이슈가 재현이 된다고 합니다.
https://news.ycombinator.com/item?id=29504755#29516563
라자냐
해시 아이콘
21/12/11 23:53
수정 아이콘
(수정됨) .
코스모스 아톰
해시 아이콘
21/12/12 00:07
수정 아이콘
전자정부 프레임워크는 log4j 가 2012년 1.2버전이라서 안전하다는게 유머네요 크크크크크크크크킄
지켜보고 있다
해시 아이콘
21/12/12 00:39
수정 아이콘
역시 아이티 강국답네요.
라자냐
해시 아이콘
21/12/12 00:43
수정 아이콘
(수정됨) .
초현실
해시 아이콘
21/12/12 02:50
수정 아이콘
[펄-럭]
winfo
해시 아이콘
21/12/12 09:20
수정 아이콘
몇수앞을 내다보는 K-IT
도롱롱롱롱롱이
해시 아이콘
21/12/12 18:06
수정 아이콘
아니라고 합니다. 전자정부 프레임워크는 지속적으로 업그레이드를 해왔다고 하네요.
과연 누구 말이 맞을지.
도롱롱롱롱롱이
해시 아이콘
21/12/12 18:22
수정 아이콘
https://www.egovframe.go.kr/home/sub.do?menuNo=13
맞네요. 그냥 프레임워크 사용자들이 예전 버전 쓰면서 업그레이드 안하고 남탓이었음..
Unikys
해시 아이콘
21/12/12 00:33
수정 아이콘
와 우리 회사 인프라 코드에 logback 하드 디펜던시가 있어서 불평했는데 이게 이렇게 돕네요 크크
DevBear
해시 아이콘
21/12/12 02:09
수정 아이콘
일단 알려진 공격법(jndi+ldap)은 최근 JVM (8u191, 11.0.2 and later)에서는 default로 disable되어있긴합니다
씨드레곤
해시 아이콘
21/12/12 11:33
수정 아이콘
(수정됨) 저도 그렇게 믿고 싶은데 최신 JVM에서도 상황에 따라 문제되는 경우가 있다고 합니다.
예를 들어 tomcat을 사용하거나 groovy library를 사용하든가...
https://www.veracode.com/blog/research/exploiting-jndi-injections-java
supernova
해시 아이콘
21/12/12 04:10
수정 아이콘
Flogger 써서 다행이네요 크크
Jane
해시 아이콘
21/12/12 09:39
수정 아이콘
패이로드 보니까 엄청 단순하던데 써먹고있던 해커 엄청많을거같네요
목록 삭게로! 맨위로
번호 제목 이름 날짜 조회 추천
공지 [일반] [공지]자게 운영위 현황 및 정치카테고리 관련 안내 드립니다. + 선거게시판 오픈 안내 [29] jjohny=쿠마 25/03/16 31653 18
공지 [정치] [공지] 정치카테고리 운영 규칙을 변경합니다. [허들 적용 완료] [127] 오호 20/12/30 310639 0
공지 [일반] 자유게시판 글 작성시의 표현 사용에 대해 다시 공지드립니다. [16] empty 19/02/25 364244 10
공지 [일반] 통합 규정(2019.11.8. 개정) [2] jjohny=쿠마 19/11/08 369246 4
104844 [일반] 기억상실증에 관한 이야기 [5] 라비011255 25/08/24 1255 8
104843 [정치] 노란봉투법 통과 시점을 보면 혹시 있을 관련 악재가 있어도 내년 지선이 자신있다는 계산일까요? [23] 삭제됨3356 25/08/24 3356 0
104842 [일반] 철학적 사고를 하는 캐주얼한 방법 [21] 삭제됨1846 25/08/24 1846 4
104841 [정치] 노란봉투법 국회 본회의 통과 [100] 카루오스6305 25/08/24 6305 0
104840 [정치] 국힘 전당대회 후"윤 찾아간다" "반대파 출당 가능" "한동훈대신 전한길 공천" 등 [97] 린버크6948 25/08/24 6948 0
104839 [일반] [팝송] 저스틴 비버 새 앨범 "SWAG" [2] 김치찌개1921 25/08/24 1921 1
104838 [정치] 젠더 극단주의자 [105] 딕시8981 25/08/23 8981 0
104837 [일반] 귀멸의칼날 무한성 1장 개봉당일 보고 온 후기 (스포없음) [97] 시랑케도11092 25/08/23 11092 5
104836 [정치] '찬탄파' 보수 정치인의 현황과 미래 (한동훈 편) [242] Quantumwk12316 25/08/23 12316 0
104835 [일반] 케데헌은 PC 그 자체이죠. [204] 유동닉으로12463 25/08/22 12463 21
104834 [일반] "소득은 국민연금뿐, 생활비 걱정" 부동산에 묶인 노인 빈곤층 [133] 페이커7511233 25/08/22 11233 22
104833 [정치] '반탄파' 김문수·장동혁 국힘 대표선거 결선 진출…26일 선출 [180] 덴드로븀9908 25/08/22 9908 0
104832 [정치] R&D 예산 35.3조로 증대, 특허청에서 지식재산처로 승격 [51] 오컬트6607 25/08/22 6607 0
104831 [일반] 숨 참기 기네스 기록 29분 3초 [49] 조조5618 25/08/22 5618 12
104830 [정치] 경찰, 김정숙 여사 '옷값 특활비 의혹' 무혐의 결론 [233] 아따따뚜르겐12587 25/08/22 12587 0
104829 [일반] 지식의 사람 차별 [8] 번개맞은씨앗3411 25/08/22 3411 1
104828 [정치] 김영환 충북도지사 현금수수 의혹 압수수색 [35] Croove9405 25/08/21 9405 0
104827 [일반] 주호민씨가 뻑가와 악플러들을 고소한 것 같습니다. [156] 짭뇨띠16880 25/08/21 16880 0
104826 [정치] 트럼프 행정부, "한국이 미국에 원전 지어달라" 제안 [76] 덴드로븀10096 25/08/21 10096 0
목록 이전 다음
댓글

+ : 최근 1시간내에 달린 댓글
+ : 최근 2시간내에 달린 댓글
맨 위로