로그4j 취약점 추가로 발견, 15일 15시 기준 최신버전 발표

[사진=게티이미지뱅크]

로그4j 버전 1과 버전 2에서 신규 취약점이 발견됨에 따라 아파치가 새로운 버전을 배포했다. 2021년 12월 15일 15시 기준으로 최신버전은 각각 2.16.0과 2.12.2다.

한국인터넷진흥원(KISA)은 로그4j 취약점에 대해 기존에 안내한 2.15.0이 아닌 더 높은 버전으로 업데이트해야 한다고 권고했다. 자바8 사용자는 버전 2.16.0, 자바7 사용자는 버전 2.12.2로 업데이트해야 한다. 특히 버전 1의 경우 보안 업데이트 지원이 종료되면서 추가적인 보안 위협에 노출될 수 있기 때문에 반드시 최신버전으로 업데이트가 필요하다.

KISA는 제조사 홈페이지에서 신규버전이 계속 업데이트되고 있기 때문에 확인 후 적용이 필요하다고 설명했다. 임시 조치로 JndiLookup 클래스를 경로에서 제거하는 등 서버 설정을 바꿔 대응할 수 있지만, 장기적으로는 최신버전으로 업그레이드를 권장한다고 덧붙였다.

또한 KISA가 발간한 로그4j 취약점 대응 가이드를 참고해 접근 탐지정책을 적용해야 하며, 이미 공개된 탐지정책은 사이버공격자가 우회할 수 있기 때문에 지속적인 업데이트가 필요하다.

한편, 로그4j는 거의 모든 인터넷 서버 관리에 쓰이는 관리용 소프트웨어로, 이번 취약점을 악용할 경우 해커가 관리자 권한을 탈취해 원격에서 랜섬웨어를 실행해 설치하거나 정보를 유출할 수 있다. 해외 보안 기업은 중국·이란 등의 해킹 조직이 이를 악용한 것으로 파악하고 있다. 국정원, KISA 등에 따르면 국내에서는 현재 피해 사례가 보고되지 않았다.