Log4j 2 원격코드 실행 취약점 대응방법

Apache Log4j 2 원격코드 실행 취약점(CVE-2021-44228) 은?

Java 기반 오픈 소스 로깅 라이브러리인 Apache Log4j에는 보안 상의 심각한 취약점이 있음이 확인되었습니다.

이 취약점은 CVE-2021-44228로 등록되었습니다. ＜https://nvd.nist.gov/vuln/detail/CVE-2021-44228＞

Apache Log4j가 실행되는 서버에서 원격 취약점을 악용하여 조작된 데이터를 전송하여 임의의 코드를 실행할 수 있습니다.

구체적으로는 Apache Log4j에는 Lookup이라는 기능이 있으며 로그로 기록 된 문자열에서 부분의 문자열을 변수로 바꿉니다.

그 중 JNDI Lookup 기능이 악용되면 원격 제3자가 조작한 문자열을 전송하고 Log4j가 로그로 기록함으로써 Log4j는 Lookup에 의해 지정된서버 또는 내부 경로로부터 java class 파일을 읽고 실행하면 임의의 코드가 실행될 수 있습니다.

또한 Apache Log4j를 사용하는 애플리케이션 및 소프트웨어 등으로 향후 보안 업데이트가 공개될 수 있습니다. 관련 정보를 주시하고, 필요한 대책이나 대응을 해야 합니다.

오픈나루에서 공급하고 있는 제품을 포함한 일반적인 환경에 대해서 조치할 수 있는 방법도 함께 공유드립니다.

해당사항 없음
애플리케이션에서 log4j2 라이브러리를 사용하는지 확인ls -al /${application_path}/WEB-INF/lib/log4j*
log4j-api-2.14.0.jar
log4j-core-2.14.0.jar #2.xx.xx일 경우 조치 대상
애플리케이션에서 Log4j 2버전을 사용하면 아래 3가지 방안 중 한가지를 선택해 조치해야 함.
1. log4j 2.15 버전으로 업그레이드(모든 버전에 대해 권장사항)
  개발자조치 필요
2. 시스템 프로퍼티 옵션 설정(2.10 ~ 2.14.1 버전일 경우, 1안 적용이 불가할 경우에 한해 적용)
  –Dlog4j2.formatMsgNoLookups=true
3. JndiLookup 클래스 제거(2.0-beta9 ~ 2.10.0 버전일 경우, 1안 적용이 불가할 경우에 한해 적용)
  zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
참고자료
1. https://access.redhat.com/solutions/6577421

해당사항 없음
애플리케이션에서 log4j2 라이브러리를 사용하는지 확인ls -al /${application_path}/WEB-INF/lib/log4j*
log4j-api-2.14.0.jar
log4j-core-2.14.0.jar #2.xx.xx일 경우 조치 대상
애플리케이션에서 Log4j 2버전을 사용하면 아래 3가지 방안중 한가지를 선택해 조치해야 함.
1. log4j 2.15 버전으로 업그레이드(모든 버전에 대해 권장사항)
  개발자조치 필요
2. 시스템 프로퍼티 옵션 설정(2.10 ~ 2.14.1 버전 에 대해 1안 적용이 불가할 경우에 한해 적용)
  –Dlog4j2.formatMsgNoLookups=true
3. JndiLookup 클래스 제거(2.0-beta9 ~ 2.10.0 버전 에 대해 1안 적용이 불가할 경우에 한해 적용)
  zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

OpenShift Logging에서 사용하는 ElasticSearch의 설정을 변경하여야 함# oc set env -c elasticsearch replicaset/ ES_JAVA_OPTS=”-Dlog4j2.formatMsgNoLookups=true”
# oc scale replicaset/ –replicas=0 # 새로운 Pod가 뜸

# oc set env -c elasticsearch pods -l component=elasticsearch –list | grep ES_JAVA_OPTS # Pod의 환경변수 확인
ES_JAVA_OPTS=-Dlog4j2.formatMsgNoLookups=true