취약점 권고: Apache Log Binary(Log4J)

11년 2021월 XNUMX일 | 조언하는, 블로그

Apache에서의 Log4J 익스플로잇

2022년 12월 22일: Log4j, Log4Shell 취약점 세부 정보 업데이트

CISA가 새로운 권고안을 발표했습니다: https://www.cisa.gov/uscert/ncas/alerts/aa21-356a

25년 넘게 사이버 보안 업계에 종사하면서 Log4j처럼 중요한 패치에 대한 업데이트를 이렇게 많이 처리해야 했던 적은 기억나지 않습니다. Code Red, MS Blaster, SQL Slammer, Melissa, 그리고 최근 HeartBleed, Exchange Server 2021도 이렇게 많은 수정 시도가 실패했을까요?

수정 내역(지난 10일)

log4j 2.15.0이 출시된 직후, 연구원들은 서비스 거부(DoS) 취약점을 발견했습니다. 이후 연구에 따르면 이러한 DOS 취약점은 실제로 원격 코드 실행 취약점일 수 있습니다(으악!). 이로 인해 2.16.0이 출시되었고, 소프트웨어 개발자들은 해당 버전을 테스트하기 위해 분주히 움직였습니다.

12월 22일, 새로운 DOS 조건이 발견되어 Java 8용 2.17.0이 출시되었습니다. 이전 버전의 Java를 위한 다른 버전도 출시되었습니다.

제3자 공급업체 노출?

Log4j 이벤트가 시작된 지 12일이 지났는데도 공급업체가 Log4j에 대한 위험에 노출되어 있지 않다는 명확한 입장을 밝히지 않는다면, 공급업체가 Log4j에 노출되어 최신 릴리스인 2.17 패치를 적용하기 위해 애쓰고 있다고 가정해야 합니다. 그렇다면 귀사는 어떻게 될까요?

잠재적으로 노출될 수 있는 애플리케이션에서 이러한 서비스를 종료하는 것을 고려하십시오. 침해 징후를 확인하십시오. CISO의 최신 권고안(여기에서 확인하세요).

CyberHoot 추천:

회사가 log4j 취약점에 노출된 경우 서버가 이미 손상되었을 가능성을 고려해야 합니다. CISO 자문 침해 지표를 찾는 것을 포함하여 따라야 할 여러 가지 권장 사항이 있습니다.

CyberHoot은 해커들이 연말연시를 노리고 랜섬웨어 공격을 비롯한 여러 공격을 감행하여 사람들이 지켜보지 않는 사이에 데이터와 신원을 훔쳐갈까 봐 매우 우려하고 있습니다. 지금이 바로 조치를 취하고, 패치를 적용하고, 침해 징후를 찾아야 할 때입니다. 행운을 빕니다!

CyberHoot의 12월 11일 원본 게시물

심각도 10(최대 심각도)의 취약점이 인터넷에서 공격받고 있습니다. 이 심각한 위험은 "Log4Shell"이라고 하며, Apache Log4j(버전 2.0~2.14.1)에서 발견되어 2021년 12월 9일에 공개되었습니다. Log4j는 모든 웹사이트의 약 1/3을 운영하는 Apache Software Foundation에서 발견되었습니다. Log4Shell(CVE-2021-44228) 취약한 서버에서 원격으로 코드를 실행할 수 있습니다.

CyberHoot의 취약점 경보 관리 프로세스(VAMP)는 이 위험을 심각도 0 이벤트로 평가하고 조치를 위해 vCISO 고객 및 MSP에 보고했습니다. CyberHoot에서는 Log4j Java 코드를 전혀 사용하지 않으므로 자체 서버는 위험에 노출되지 않습니다.

대응 방법:

회사는 노출된 Log4j Java 코드를 실행하지 않는지 확인해야 합니다. 다음은 해당 코드 목록입니다. 영향을 받은 타사 소프트웨어 참고용으로 알려드립니다. 위험에 처한 서버를 발견하면 다음과 같이 세 가지 방법으로 문제를 해결할 수 있습니다.

세 가지 잠재적 솔루션

1. Log4j 업그레이드: log4j를 2.15.0 이상으로 패치하면 위험은 해결되지만 영향을 받는 Apache 서버에 액세스하고 Apache를 다시 시작해야 합니다.

2. 구성 변경: Log4j 버전(>=2.10)에서는 시스템 속성을 설정하여 취약점을 완화할 수 있습니다. log4j2.formatMsgNoLookups 에 true 또는 클래스 경로에서 JndiLookup 클래스를 제거합니다. 또한, 서버에 Java 런타임이 8u121 이상인 경우 기본적으로 설정은 com.sun.jndi.rmi.object.trustURLCodebase com.sun.jndi.cosnaming.object.trustURLCodebase 이러한 위험을 완화하기 위해 "거짓"으로 설정됩니다.

3. 백신을 사용하여 서버에 접종하세요.: 사이버리즌사이버 보안 회사인 패치/접종 백신을 출시했습니다. 영향을 받은 서버에서 이 취약점을 악용할 가능성이 없어졌습니다.

생각을 폐쇄

귀사에 이러한 중요 이벤트에 대해 거의 실시간으로 알림을 제공하는 위협 인텔리전스 피드가 없다면 CyberHoot 구독을 고려해 보세요. 최신 정보를 제공해 드립니다. 더 나아가 CyberHoot vCISO를 고용하여 이러한 상황에 대비한 취약점 경보 관리 프로세스를 구축하는 것도 좋은 방법입니다.