[MCCS] Log4J 보안 취약점 대응방안

Symptoms

• Apache 소프트웨어 재단은 자사의 Log4j 에서 발생하는 취약점을 해결한 보안 업데이트 권고
• 공격자는 해당 취약점을 이용하여 악성코드 감염 등의 피해를 발생시킬수 있으므로, 최신 버전으로 업데이트 권고

Environment

• Windows, Linux 환경공통
• Apache Log4J 환경공통 
• MCCS 버전별 Log4J 취약 현황
  
  MCCS 버전Log4J 버전취약점취약 여부대응 방안
   4.x ~ 4.4.7
  Log4J 1.2
  CVE-2021-4104취약점 영향 없음( JMSAppender , JMSSink미사용 )
  조치 필요 없음
  
  
   4.4.8 ~ 4.4.9.2
  
  
  Log4J 2.13CVE-2021-44228취약점 영향 있음조치 필요- MCCS 업그레이드로 해결 (Log4J 2.17.1 적용)※ 서비스 다운타임 필요 (고객 운영 서비스 다운 필요)CVE-2021-45046취약점 영향 있음CVE-2021-44832취약점 영향 있음
  CVE-2021-45105취약점 영향 없음( ${ctx:loginId}, $${ctx:loginId} 미사용 )
  조치 필요 없음
   4.4.9.3 
  Log4J 2.17.1
  –
  취약점 영향 없음
  조치 필요 없음

Cause 

• Apache 소프트웨어 재단의 Log4J 보안 취약점 사태
  
  발표날짜(수정날짜)
  종류
  취약점
  KISA 보안공지
  2021.12.11(2021.12.22)
  
  Log4J  CVE-2021-4104
  
  https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36389  CVE-2021-44228CVE-2021-450462021.12.18(2022.01.03)Log4JCVE-2021-45105
  https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36397 CVE-2021-44832

Solution

 1. MCCS 버전 확인방법

– MCCS 버전이 “4.4.8 ~ 4.4.9.2”인 경우만 업그레이드 필요

운영체제	명령어	수행결과
Windows	cd %MCCS_HOME%\binmccluster -version
Linux	cd $MCCS_HOME/binmccluster -version

2. MCCS 업그레이드

– 맨텍 서비스센터 (1833-7790)를 통해 업그레이드 방법 및 절차 확인 필요

※ 업그레이드 작업은 서비스 다운타임 필요 (고객 운영 서비스 다운 필요)