월요일 하루 내내 저 Log4j 취약점 수정하시느라 고생이 많으셨을듯 하네요..

저도 여기에 이것과 관련되어서 글도 쓰고 댓글도 쓰고 정보를 잘못 알려드린 바람에 사과문도 게재하고..정말 바뻤네요..

그 와중에 이걸 자신의 프로젝트에서 직접 확인하고 수정해서 점검하는 방법이 있지 않을까 싶어서..

제 블로그에 관련 내용을 정리해서 올렸습니다..

취약점에 대한 여러 보완책이 나와 있으나 그중 log4j2.formatMsgNoLookups=true 를 설정하는 방법을 프로젝트 소스에서 어떻게 반영하면 되는지를 정리해서 올렸습니다..

이걸 정리하게 된 이유는 java -D 옵션을 사용하는 자바 시스템 프로퍼티나 OS 또는 계정의 환경 변수 설정에 익숙하지 않으면 이걸 고치기 어렵다는 생각이 들어서 별도로 프로젝트를 만들어서 이를 체크하고 수정하는 글을 작성하게 되었습니다..

소스 코드를 보여주는 그림과 Log 내용을 보여주는 그림은 작게 보이실텐데요..그림을 클릭하신뒤 브라우저에서 확대해서 보시면 됩니다. 소스에서 강조해야 할 부분이 있어서 부득이하게 캡춰를 했습니다. 양해 부탁드립니다..

보시고 도움이 되셨으면 합니다..

Log4j CVE-2021-44228 취약점을 프로젝트에서 직접 점검하고 보완하는 방법

추가

블로그 글에 정리된 내용으로 진행하게 될 경우 JNDI Lookup 기능을 이용한 자원 탈취는 안되겠지만 Lookup 기능을 막은것은 아니기 때문에 잘못된 자원 주소로 Lookup 기능을 계속 실행하게끔 유도하는 형태의 DDOS 공격이 발생할 수 있다고 알려졌습니다..

관련된 내용은 https://github.com/advisories/GHSA-7rjr-3q55-vv33를 보시면 되구요..해당 상황에 대한 설명은 제가 블로그 글에 정리하도록 하겠습니다..

Apache 재단도 이 문제점을 인식해서 2.16 버전으로 업데이트를 해놨습니다..

가장 확실한 방법은 zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class 명령어로 JndiLookup.class 를 jar 파일에서 빼버리시거나 아니면 2.16 버전으로 업데이트를 진행하세요..

Apache 재단이 이번엔 정말 제대로 된 똥을 싸버려서 힘드네요..ㅎㅎ..

자신의 프로젝트에서 log4j 취약점을 직접 확인하고 수정하는 방법을 정리했습니다..