취약점

[CVE-2021-44228] Apache Log4j 취약점 분석

Log4j는 java기반 시스템의 log를 남겨주는 여러 가지 로그 프레임워크들 중 하나이다. 전 세계의 많은 서비스들이 이를 통해서 logging 유틸리티로 사용하고 있다. Log4j의 기능 중 lookups에 취약점이 발견이 되었고, 이를 통해 공격이 이루어지고 있다. lookups & JNDI Log4j는 단순히 system.out.println(log);와 같이 로깅을 하는 것 대신, log.info("Log: {}", arg)와 같은 방식으로 로그를 찍는다. {}를 통해 데이터를 매핑하는 형태로 우리가 원하는 포맷으로 로그를 남길 수가 있다. 추가로 Lookups 기능을 사용하면 더 편리하게 원하는 데이터 매핑이 가능하다. 예시로 Kubernetes lookup기능 통해 log.info("Nam..