[Security] Log4J 보안취약점 발생! 2021년 12월 11일

[긴급] Log4J 보안 업데이트 긴급공지

출처

https://www.egovframe.go.kr/home/ntt/nttRead.do?menuNo=74&bbsId=6&nttId=1838 

공지사항 | 표준프레임워크 포털 eGovFrame

요약

□ 대응방안
o JDK8 사용시
 - Log4j 2.17.1으로 업데이트
o JDK7 사용시
 - Log4j 2.12.4으로 업데이트
o JDK6 사용시
 - Log4j 2.3.2으로 업데이트

 

POM.XML

    <dependency>
        <groupId>org.apache.logging.log4j</groupId>
        <artifactId>log4j-core</artifactId>
        <version>2.19.0</version>
    </dependency>    

<!-- 2021년12월Log4J(Log4Shell) 역대 최악 보안 취약점으로 인한 주석처리 절대해제금지
        <dependency>
            <groupId>net.sf.ehcache</groupId>
            <artifactId>ehcache-core</artifactId>
            <version>2.6.9</version>
        </dependency>
        <dependency>
            <groupId>net.sf.ehcache</groupId>
            <artifactId>ehcache-terracotta</artifactId>
            <version>2.1.1</version>
        </dependency>
-->

 

감리요청사항 대응

전자정부 LOG4J보안취약점 대응방안에 대한 기술적계획수립 및 대응사항 명시

기술적 근거
표준프레임워크포털 > 알림마당 > 공지사항 > [긴급] Log4J 보안 업데이트 긴급공지
작성일 2021-12-11에 작성된 아래URL을 근거함
https://www.egovframe.go.kr/home/ntt/nttRead.do?menuNo=74&bbsId=6&nttId=1838

□ 대응방안
o JDK8 사용시
 - Log4j 2.17.1으로 업데이트
o JDK7 사용시
 - Log4j 2.12.4으로 업데이트
o JDK6 사용시
 - Log4j 2.3.2으로 업데이트
 
풍수해관리시스템은 1.8버전이기 때문에 log4j-core의 버전을 2.19.0로 설정

Log4Shell에 대한 보안 취약점에 대한 대응
ehcache-core 라이브러리 제거 및 사용없음
ehcache-terracotta 라이브러리 제거 및 사용없음

 

안녕~