로그4j 취약점 추가로 발견, 15일 15시 기준 최신버전 발표

[사진=게티이미지뱅크]

로그4j 버전 1과 버전 2에서 신규 취약점이 발견됨에 따라 아파치가 새로운 버전을 배포했다. 2021년 12월 15일 15시 기준으로 최신버전은 각각 2.16.0과 2.12.2다.

한국인터넷진흥원(KISA)은 로그4j 취약점에 대해 기존에 안내한 2.15.0이 아닌 더 높은 버전으로 업데이트해야 한다고 권고했다. 자바8 사용자는 버전 2.16.0, 자바7 사용자는 버전 2.12.2로 업데이트해야 한다. 특히 버전 1의 경우 보안 업데이트 지원이 종료되면서 추가적인 보안 위협에 노출될 수 있기 때문에 반드시 최신버전으로 업데이트가 필요하다.

KISA는 제조사 홈페이지에서 신규버전이 계속 업데이트되고 있기 때문에 확인 후 적용이 필요하다고 설명했다. 임시 조치로 JndiLookup 클래스를 경로에서 제거하는 등 서버 설정을 바꿔 대응할 수 있지만, 장기적으로는 최신버전으로 업그레이드를 권장한다고 덧붙였다.

또한 KISA가 발간한 로그4j 취약점 대응 가이드를 참고해 접근 탐지정책을 적용해야 하며, 이미 공개된 탐지정책은 사이버공격자가 우회할 수 있기 때문에 지속적인 업데이트가 필요하다.

관련기사

• ​이란·중국 해커, 로그4셸 악용했다...국내에서도 사용현황 실태파악 나서
• ​로그4j 취약점 피해 예방에 총력, 국내 기업 대응은?

한편, 로그4j는 거의 모든 인터넷 서버 관리에 쓰이는 관리용 소프트웨어로, 이번 취약점을 악용할 경우 해커가 관리자 권한을 탈취해 원격에서 랜섬웨어를 실행해 설치하거나 정보를 유출할 수 있다. 해외 보안 기업은 중국·이란 등의 해킹 조직이 이를 악용한 것으로 파악하고 있다. 국정원, KISA 등에 따르면 국내에서는 현재 피해 사례가 보고되지 않았다.