Notice
Recent Posts
Recent Comments
Link
일 | 월 | 화 | 수 | 목 | 금 | 토 |
---|---|---|---|---|---|---|
1 | 2 | |||||
3 | 4 | 5 | 6 | 7 | 8 | 9 |
10 | 11 | 12 | 13 | 14 | 15 | 16 |
17 | 18 | 19 | 20 | 21 | 22 | 23 |
24 | 25 | 26 | 27 | 28 | 29 | 30 |
Tags
- artifacts
- hacking case
- CFReDS
- 해킹
- 정보보안기사 실기
- isms-p
- iam
- AWS EKS Udemy
- forensic
- kubernetes
- 포렌식
- AWS EKS
- Autopsy
- 실습
- k8s
- AWS 쿠버네티스
- AWS Opensearch
- 모의해킹
- 보안
- TSK
- 정보보안
- AWS Elasticsearch
- ISMS
- SMS-P 인증 기준 안내서 요약
- 쿠버네티스
- ISMS-P 인증심사원
- AWS
- 보안기사
- 정보보안기사
- The Sleuth Kit
Archives
- Today
- Total
Always-Try(정보보안 및 일상)
log4j 버전 별 취약점 및 신규 취약점 대응 방안 총 정리 (CVE-2019-17571, CVE-2021-44228, CVE-2021-45046, CVE-2021-4104) 본문
Pen Test
log4j 버전 별 취약점 및 신규 취약점 대응 방안 총 정리 (CVE-2019-17571, CVE-2021-44228, CVE-2021-45046, CVE-2021-4104)
Always-Try 2021. 12. 16. 00:19이전 포스팅인 CVE-2021-44228 해결 방안으로 나온 log4j 2.1.15 버전이 출시되지 얼마되지 않아 2.1.15 버전에 새로운 취약점이 발견되어 최근 보안 조치를 권고혼란을 주고 있다. 이외에도 log4j 관련 된 다양한 취약점이 발견되고 있는데, 이에 log4j 관련 취약점을 한번 정리해보고자 한다. 참고로 대응 방안에 Java 버전별로 다른 log4j 버전을 제시하는데, 이는 Java 7과 8 버전별로 지원하는 log4j의 버전이 다르기 때문인 점을 참고바란다.
- 과거 포스팅: 2021.12.13 - [Pen Test] - Log4j 보안 취약점 (CVE-2021-44228) 동작 원리 테스트 및 조치 방안 3/3 - 취약점 점검 및 대응 방안
- 관련 KISA 가이드: https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36389
1. CVE-2019-17571
- 취약점 요약: 로그 수집을 위한 소켓기능(SocketServer)에 사용되는 SocketNode 클래스에서 발생하는 취약점
- 영향 받는 버전: 1.2.x 버전
- 상세 내용: https://m.blog.naver.com/skinfosec2000/221774181380
- 대응 방안: log4j 1점대 버전은 더 이상 유지보수가 되지 않으므로 2점대로 업데이트
2. CVE-2021-4104
- 취약점 요약: Log4j 1.2의 옵션인 JMSAppender를 사용하는 경우 CVE-2021-44228과 유사한 방식으로 원격 코드 실행을 초래하는 JNDI 요청을 수행하도록 할 수 있음
- 영향 받는 버전: 1.2 버전
- 상세 내용: https://nvd.nist.gov/vuln/detail/CVE-2021-4104
- 대응 방안: log4j 1점대 버전은 더 이상 유지보수가 되지 않으므로 2점대로 업데이트
위 2가지 취약점을 고려하여 2점대로 업데이트 할 경우, 아래 2가지 취약점에 대한 추가 고려가 필요하다.
3. CVE-2021-44228
- 취약점 요약: Log4j JDNI API에서 LDAP 쿼리를 이용한 취약점
- 영향 받는 버전: 2.0-beta9 ~ 2.14.1 버전 (java 7 버전을 위해 신규 릴리즈 된 Log4j 2.12.2 제외)
- 상세 내용: https://always-try.tistory.com/174
- 대응 방안: Java 8의 경우 Log4j 2.15.0으로 업데이트, Java 7의 경우 Log4j 2.12.2으로 업데이트
하지만, log4j 2.15.0 으로 업그레이드 시는 아래 4번 취약점(CVE-2021-45046)이 존재한다.
4. CVE-2021-45046
- 취약점 요약: JNDI 조회 패턴을 사용하여 악의적인 입력 데이터를 만들어 서비스 거부(DoS) 공격 발생
- 영향 받는 버전: 2.0-beta9 ~ 2.12.1 및 2.13.0 ~ 2.15.0 버전
- 상세 내용: https://nvd.nist.gov/vuln/detail/CVE-2021-45046, https://thehackernews.com/2021/12/second-log4j-vulnerability-cve-2021.html
- 대응 방안: Java 8의 경우 Log4j 2.16.0으로 업데이트, Java 7의 경우 Log4j 2.12.2으로 업데이트
20211218 추가 업데이트
-> 해당 취약점이 DoS 공격을 넘어 원격 연결 가능성이 있어 취약점 위험도(CVSS) 상향 조정
https://www.lunasec.io/docs/blog/log4j-zero-day-severity-of-cve-2021-45046-increased/
5. 결론
얼마전에 대응 방안이라고 가이드했던 log4j 2.1.15 버전이 출시된지 얼마나 됐다고 새로운 취약점들이 계속 나와 혼란스럽다. 그래도 할 일은 해야지. 마지막으로 지금까지 다룬 취약점의 대응 방안을 요약해보자면 아래와 같다.
- log4j 1.2.x 버전을 사용하는 경우: 아래 2가지 고려하여 업데이트
- Java 8에서 log4j를 사용하는 경우: Log4j 2.16.0으로 업데이트
- Java 7에서 log4j를 사용하는 경우: Log4j 2.12.2으로 업데이트
힘내자.
끝.
'Pen Test' 카테고리의 다른 글
Log4j 보안 취약점 (CVE-2021-44228) 동작 원리 테스트 및 조치 방안 3/3 - 취약점 점검 및 대응 방안 (6) | 2021.12.13 |
---|---|
Log4j 보안 취약점 (CVE-2021-44228) 동작 원리 테스트 및 조치 방안 2/3 - 취약 환경 구성 및 테스트 (0) | 2021.12.13 |
Log4j 보안 취약점 (CVE-2021-44228) 동작 원리 테스트 및 조치 방안 1/3 - 취약점 개요 (2) | 2021.12.13 |
모의해킹 테스트 사이트 구축 - 쥬시샵, prestashop (0) | 2021.10.06 |
OWASP-ZAP 사용 가이드 - 3. https 사이트 접속 시 사설 인증서 오류 (0) | 2021.08.29 |
Comments