​

2022년 1월 20일, Apache는 Log4j에 대한 보안공지를 발표하였습니다.

이번 공지는 CVE-2022-23302, CVE-2022-23305, CVE-2022-23307 취약점에 대한 내용이며, 취약점은 각각 JMSSink, JDBCAppender, Chainsaw 모듈에 존재합니다. 

CVE-2022-23302 : Apache log4j JMSSink 역직렬화 취약점 
공격자가 Log4j 설정에 대해 수정 권한을 갖고있거나 구성이 공격자가 엑세스 할 수 있는 LDAP 서비스를 참조하는 경우  모든 Log4j 1.x 버전 중 JMSSink가 데이터 역직렬화에 취약합니다. 공격자는 TopicConnectionFactoryBindingName 설정을 전달하여 JMSSink로 하여금 JNDI request를 실행하도록 할 수 있습니다. 이는 CVE-2021-4104와 유사한 방식으로 동작합니다. 다만, 기본값이 아닌 JMSSink를 사용하도록 특별히 구성된 경우에만 Log4j 1.x 버전에서 해당 취약점의 영향을 받습니다.   


CVE-2022-23305: Apache log4j JDBCAppender SQL인젝션 취약점
Log4j 1.2.x 중의 JDBAppender은 SQL 문을 매개변수로 허용하며, PatternLayout의 message converter는 해당 입력값에 대한 검증을 진행하지 않아 SQL 인젝션 취약점이 유발됩니다. 공격자가 해당 취약점을 악용하면 응용 프로그램의 입력 필드 또는 헤더에 조작된 문자열을 입력하여 의도하지 않은 SQL 쿼리를 실행할 수 있습니다. 해당 취약점은 기본값이 아닌 JDBCAppender를 사용하도록 특별히 구성된 경우에만 Log4j 1.x 버전에서 해당 취약점의 영향을 받습니다.   

CVE-2022-23307: Apache log4j Chainsaw 역직렬화 코드실행 취약점
 Chainsaw v2는 Log4j의 XMLLayout 형식의 로그 파일을 읽을 수 있는 GUI 기반의 로그 뷰어입니다. 해당 취약점은 Chainsaw에 존재하며, 임의코드실행을 허용하는 역직렬화 취약점으로, 이 취약점의 이전에 CVE-2021-9493로 명명되었습니다. 

영향받는 버전

CVE-2022-23302 :  Apache Log4j 1.x 버전의 JMSSink           

CVE-2022-23305 : JApache Log4j 1.x 버전의 DBCAppender   
CVE-2022-23307  Apache Log4j 1.x버전  및  Apache Chainsaw 2.1.0 미만 버전의 Chainsaw  

패치방법

CVE-2022-23302  Apache Log4j 2.x 버전으로 업데이트
CVE-2022-23305  Apache Log4j 2.x 버전으로 업데이트
CVE-2022-23307  Apache Log4j 2.x 혹은 Apache Chainsaw 2.1.0 버전으로 업데이트

참고 :

https://www.mail-archive.com/announce@apache.org/msg07040.html
https://www.mail-archive.com/announce@apache.org/msg07041.html
https://www.mail-archive.com/announce@apache.org/msg07042.html