2021년 자바 보안 취약점 사태.

1. 개요

CVE-2021-44228 [1] , 아파치 소프트웨어 재단의  자바  언어로 제작된 Log4j 라이브러리 [2] 를 사용하는,  대부분의  인터넷 서비스에서 매우 중대한  보안 취약점 이 발견된 사건. 2021년 12월 10일  마인크래프트 의 통신 서버를 제작하는 PaperMC에서 이 취약점을 이용한 대규모 해킹 시도를 포착하여 긴급 공지 및 취약점 수정에 들어간 것을 계기로 전 세계적으로 알려지게 되었다.  하트블리드 와  CPU 게이트 보다 심각한 파급력을 보유한 IT 최대 보안 이슈로 추정되며, 테나블(Tenable)에서는 이 사태를  컴퓨터 인터넷 역사를 통틀어 최악의 보안 결함일 수도 있다 고 경고했다.

2. 전개과정

2021년 12월 10일이 되기 수 일 전부터 해당 취약점을 이용한 시도가 있었을 것으로 추정되며, 공식적으로 밝혀진 것은 12/10 04:15  KST , [3]  PaperMC가 자사  Discord  서버를 이용하여 긴급 공지를 전송한 것이 최초이다. 내용의 요지는  이 글을 보는 즉시 긴급 패치된 파일로 즉시 업데이트하라 는 것. 이후 이 사건에 대한 내용이 밝혀지기 시작했다.

12/10 09:40 KST, [4]  오픈소스 코드 저장소로 알려진  GitHub 에서 운영하는 GitHub Advisory Database [5] 에  CVE-2021-44228 취약점이 게재되었다.

이후 12:44 KST, [6]   마인크래프트 의 기술 책임자가  본인 트위터를 통해   Minecraft에 영향을 미치는 중요한 보안 문제가 발견되어 수정하였다 고 발표하였다. 이어 최신 버전만 적용되었기에, 1.12 버전 이전의 마인크래프트는 사용하지 말 것을 당부하였다. 동일한 내용은 마인크래프트 공식 사이트에도  첨부되었다. [7]

ArsTechNia는 특집 기사를 통해 이 사건을  보도하였으며 ,  마인크래프트는 시작일 뿐이다 라는 점을 분명히 했다. 문제가 된 것은 Log4j 라이브러리의 취약점(명령어를 실행시킬 수 있다는) 때문인데, 이것은 현재 대부분의 자바 웹프로그래밍 서버에서 사용되고 있는 라이브러리이기 때문에  애플 이나  트위터  등등에도 이 버그가 영향을 미칠 수 있다고 AP통신이 보도했다.

또한 이 이슈가 문제가 되는 것은  서버에 로그인한 것 만으로 해커가 사용자의 컴퓨터를 사실상 원격 조종할 수 있는 것 [8] 이기 때문이다. 라고 경고했다.

뉴질랜드  정부는 이 버그가 공개된지 몇 시간이 지나지 않았지만 이미 많은 공격이 이루어지고 있다고 정부 보도를 통해 발표하고 이어 이용자들의 대응 방안까지  소개 하였다.

아파치 소프트웨어는 이 버그가 11월 24일  알리바바 에 의해 보고된 사항이라  밝혔다고   NPR이 보도하였다.

팔로알토 네트워크 [9] 의 Unit 42(정보보호 연구소)는  10일 밤 10시 5분(한국 시간 기준) 연구소 블로그 에서 취약점에 대한 요약과 영향받는 버전 [10] 과 영향받는 소프트웨어 [11] 를 나열하며 실제 취약점이 영향을 주는 방식과 조치가 가능한 방법을 간략하게 설명했다.

이어 이 버그가 적용되었다고 밝혀진 [12]   클라우드플레어 에서는 서버가 공격받은 징후가 아직까지 없다고 밝혔다고 보도하였다.  클라우드플레어  CEO인 매튜는 이 취약점 사태를 인지하고 있으며, 이것이 너무 심각하기 때문에 클라우드플레어의 보안 서비스를 통해서 고객이 자사의 유료 서비스를 사용하지 않더라도 어느 정도 방어할 수 있는 솔루션을 제공하는 것을 결정했다고  밝혔다.  하지만 이어서, 로그 기능을 사용해야하기 때문에 Log4j의 모든 취약점을 막을 수는 없다고도  밝혔다.

NSA 의 사이버 보안 이사 롭은 이 취약점이  NSA 의 소프트웨어 프레임워크 [13] 에 광범위하게 포함되어 있기 때문에 악용에 대한 심각한 위협이라고  밝혔다.

일본 의 정보보도매체인 ITMedia는  iCloud 와  Steam 에서도 이 취약점이 이용 가능하다고  보도했다.

KISA 는 2021년 12월 11일  보안공지 를 통해 영향을 받는 버전 별로 해결할 수 있는 방법을 게시했다. 이후 국정원은 국내 언론 보도에서 "11일 자정부터 해당 이슈에 대응했으며, 정부와 공공기관 측에 취약점 패치 적용 및 보안 대책을 구축되어 있는 시스템 [14] 을 통해 안내했다"고 밝혔다.

더 많은 정보는 링크 참조.(출처 나무위키)