Log4Shell 취약점, 여전히 위험해

 

 

Public interest in Log4Shell fades but attack surface remains

 

Apache Log4j에 존재하는 취약점 Log4shell이 발견된지 4개월이 지났습니다. 하지만, Rezilion이 공개한 보고서에 따르면, 여전히 많은 제품들이 해당 취약점에 영향을 받고 있는 것으로 나타났습니다. 

 

<이미지 출처 : https://www.bleepingcomputer.com/news/security/public-interest-in-log4shell-fades-but-attack-surface-remains/>

보고서에 따르면, Log4shell은 여전히 많은 SW에 존재하고 있다고 밝혔습니다. Sonatype의 Log4j Download Dashboard를 살펴보면, 약 40%의 꾸준한 비율이 4월 말에도 취약한 Log4j 버전을 다운로드하고 있는 사실을 알 수 있습니다. 

구글의 오픈소스 인사이트 데이터를 보면, Log4j에 의존해서 사용하는 오픈소스 패키지의 17,804개 중 7,140개만이 해당 취약점이 수정된 버전으로 업그레이드 되었으며, 이는 아직 60%에 달하는 제품들이 여전히 취약하다는 것을 보여줍니다. 

shodan에서 보면, 약 90,000개 이상의 앱이 취약한 Log4j를 사용하고 있었습니다. 

Apache Storm과 Apache skywalking-oap 22년 4월 패치되었으며, WSO2 API Manager은 22년 3월에 패치되었습니다. 

또한 Atlassian Crucible, Apache zeppelin, Bitnami Kafka, 및 Bitnami Spark를 포함한 더 이상 지원되지 않는 Log4j 1.2.17을 사용하는 사람들도 아직 있습니다. 

Log4Shell 취약점이 최초로 발견된 마인크래프트 서버에서도 68000개 서버가 여전히 취약한 것으로 확인되었습니다. 

Reailion은 이러한 문제가 발생하는 요인은 여러가지가 있다고 말했습니다. 

Log4j는 운영환경에서는 검색하기가 어려우며, Log4j를 사용하고 있다는 사실 조차 인지하기 어렵다는 점이 있습니다. 또한 운영의 안정성에 중점을 두기 때문에, 사용가능한 최신 sw를 사용하지 않거나, 컨테이너형 환경에서 세분화된 sw업데이트 정책을 사용하는 등 다양한 경우가 있다고 밝혔습니다. 

Log4Shell 취약점은 여전히 위협적이며, 그렇기 때문에 가능한 빨리 업데이트를 진행하는 것이 좋습니다. 

 

 

 

출처 :
https://www.bleepingcomputer.com/news/security/public-interest-in-log4shell-fades-but-attack-surface-remains/