반응형
https://nvd.nist.gov/vuln/detail/CVE-2021-44832
NVD - CVE-2021-44832
CVE-2021-44832 Detail Awaiting Analysis This vulnerability is currently awaiting analysis. Description Apache Log4j2 versions 2.0-beta7 through 2.17.0 (excluding security fix releases 2.3.2 and 2.12.4) are vulnerable to a remote code execution (RCE) attack
nvd.nist.gov
단순히 Log4j2의 버전을 올려서 해결될 문제가 아니라 입력값 검증적용과 취약점과 관련된 서비스를 미사용해야 한다.
이 취약점은 JNDI와 LDAP을 이용한다.
JNDI는 디렉토리 서비스이다. JNDI서비스를 위한 인터페이스 중 하나가 LDAP이고
JNDI와 LDAP을 통해 Java객체를 찾을 수 있다.
Log4j를 편리하게 사용할 수 있도록 ${prefix:name} 형식으로 로그를 기록할 수 있게 했고
해당 기능을 이용하여 다양한 값을 서버로 전송할 수 있는 취약점이 발견된다.
728x90
'호기심_메모' 카테고리의 다른 글
| 해양수산부 주요정책 (0) | 2022.01.27 |
|---|---|
| 오션테크 코리아 발표자료 (0) | 2022.01.27 |
| Log4j 취약점(CVE-2021-44228) (0) | 2021.12.13 |
| SOAR (Security Orchestration, Automation and Response) (0) | 2021.11.08 |
| 교차 출처 리소스 공유 (Cross-Origin Resource Sharing, CORS) (0) | 2021.09.28 |
