쿤텍, 로그4j(Log4j) 취약점 자동 탐지 및 수정사항 제공 |
|
2021-12-22 09:52
편집부 press@bodnara.co.kr |
|
|
|
|
|
|
오픈소스 관리 전문 기업 쿤텍 주식회사는 오픈소스 통합 관리 솔루션인 화이트소스(WhiteSource)으로 로그4j(Log4j) 보안 취약점에 대한 자동 탐지 및 수정사항을 제공한다고 밝혔다.
지난 12월 10일과 15일, 로그4j와 관련된 보안 취약점(CVE-2021-44228과 후속 취약점(CVE-2021-45046)이 연이어 발견되었다. 로그4j는 인터넷 서비스 운영, 유지 관리, 프로그램 작성 과정의 모든 기록을 관리하기 위해 사용되는 자바(Java) 기반의 오픈소스 로깅 유틸리티다.
로그4쉘(Log4shell)이라고 불리는 해당 취약점은 악의적인 공격자가 보안 업데이트가 적용되지 않은 아파치 로그4j 버전에서 구성, 로그 메시지, 매개변수에 사용되는 JNDI(Java Naming and Directory Interface) 기능을 제어할 수 있도록 하여 LDAP 및 기타 JNDI 관련 엔드포인트를 보호할 수 없게 된다. 이로 인해 공격자는 JNDI 룩업(Lookup) 패턴을 사용하여 악의적인 입력 데이터를 조작하여 서비스 거부(DoS, Denial of Service)을 수행할 수 있다. 이와 같은 오픈소스 보안 취약점의 경우 오픈소스와 오픈소스 사이의 종속성으로 인하여 수동으로 관련 취약점을 식별하고 수정하는 것이 불가능하다.
오픈소스 통합 관리 솔루션인 화이트소스(WhiteSource)는 SaaS 기반 보안 취약점 데이터베이스를 통해 자동으로 해당 취약점을 탐지하고 수정 권고 사항을 제공한다. 화이트소스는 로그4쉘 취약점이 보고되기 전에 심각도가 높은 취약점 경고에 대한 정책 설정을 마친 경우라면, 라이브러리에 대한 직간접 종속성을 통해 해당 취약점의 영향을 받는 경우에 자동으로 알람을 제공한다. 심각도가 높은 취약점에 대해 별도의 정책을 설정하지 않은 경우라면, 화이트소스 UI에서 직접 취약점 보고서를 확인하여 제품 또는 프로젝트에 미치는 영향을 확인하고 완화 정책을 수행할 수 있다.
특히 이번 로그4j 취약점과 관련하여 화이트소스는 깃허브(Github)를 통해 무료 도구인 화이트소스 로그4j 디텍트(WhiteSource Log4j Detect)를 제공하여 코드베이스의 취약점 완화를 지원한다. 이를 통해 기존의 오픈소스 프로젝트를 빠르게 스캔하여 취약한 로그4j의 버전과 경로를 식별할 수 있다.
|
|
|
|
|
|
|
보드나라 많이 본 뉴스
삼성전자, 개인 소비자용 SSD 시장 철수설 부인
2026년 상반기, 엔비디아 지포스 RTX 50 시리즈 GPU 공급 축소?
|
보드나라 많이 본 기사
17년만에 등장한 후속작 아이온2, GAINWARD 지포스 RTX 5060 고스트 성능은?
AI 수요가 늘면 왜 DDR5 값이 오를까?, [메모리 가격 폭등 1부]
ipTIME 공유기와 어울리는 2베이 NAS, ipTIME NAS2plus
|
|
|
|
|
|
| 로그인 | 이 페이지의 PC버전 |
|
| Copyright NexGen Research Corp. 2010 |
|
|
