2023-02-05 19:55 (일)
위험도 10.0의 치명적 취약점 로그4셸, 국정원 “국가·공공 해킹 피해 사례 없는 것으로 확인”
상태바
위험도 10.0의 치명적 취약점 로그4셸, 국정원 “국가·공공 해킹 피해 사례 없는 것으로 확인”
  • 길민권 기자
  • 승인 2021.12.12 21:27
이 기사를 공유합니다

Log4j 이용하는 경우 신속하게 업데이트를 적용해야

아파치 Log4j 2 서비스에 대한 보안취약점('로그4셸'로 명명)이 발견됐다. 일반, 기업, 공공 대부분 컴퓨터에 악성코드 감염 등 악영향을 미칠 수 있는 최악의 보안취약점으로 알려졌다.

Log4j는 기업 홈페이지 등 인터넷 서비스 운영·관리 목적의 로그기록을 남기기 위해 사용하는 프로그램으로 업데이트를 수행하지 않을 경우, 취약점을 악용해 공격자가 원격에서 공격코드를 실행시킬 수 있어 심각한 피해를 입을 수 있다. Log4j를 이용하는 경우 신속하게 업데이트를 적용해야 한다.

국가정보원은 “인터넷 서버용 소프트웨어인 로그4j에서 심각한 해킹을 야기할 수 있는 취약점이 발견됐다. 11일 자정부터 공공기관을 대상으로 실태파악, 정보공유, 보안패치 안내 등 선제적 조치를 취했다”고 전했다.

국정원은 긴급 점검 결과 현재까지 국가, 공공기관 대상 관련 해킹 피해 사례는 없는 것으로 확인됐다고 밝혔다.

국정원은 피해 예방을 위해 취약점 보안패치 적용 등 보안대책을 국가사이버위협정보공유시스템(NCTI)와 인터넷용정보공유시스템(KCTI)과 사이버안보센터 홈페이지를 통해 안내하고 있다. 안내 내용은 다음과 같다.

◇Apache 웹서버 'Log4j' 취약점 보안패치 권고

Apache 웹서버에 존재하는 'Log4j' 라이브러리에서 심각한 보안 취약점이 발견돼, 피해예방을 위해 보안업데이트 해야 한다.

이번 취약점은 CVE-2021-44228(원격코드 실행)로 위험도 10.0의 치명적인 취약점으로 분류됐다. 해커가 Apache 서버의 Log4j 취약버전 대상으로 악성페이로드 전송시, 원격코드 실행이 가능하다.

조치사항은 다음과 같다.

-Apache 웹서버에서 Log4j 라이브러리 2.0-beta9 ~ 2.14.1버전을 사용하는 경우 2.15.0 버전으로 업데이트

-상위버전 업데이트 불가시, Apache사 권고문을 참조해 조치

-Log4j 2.10이후 버전 사용시 조치방법: 환경변수 'Log4J_FORMAT_MSG_NO_LOOKUPS' 또는 시스템 속성 'log4j2.formatMsgNoLookups'를 true로 설정

★정보보안 대표 미디어 데일리시큐!★