log4j2의 취약성 정리

log4j2에서 무슨 일이 일어났는지 몰라서요.
정리된 일을 기재하다.
문제.

외부 자원에 대한 접근 정보를 포함하는 요청 정보
log4j2 라이브러리에 로그 출력 처리 후
로그 출력 처리에서 호출된 JNDI를 통해 외부 리소스에 액세스할 수 있습니다.
공격자는log4j2를 이용하여 외부 자원에 접근할 수 있습니다
로그 출력 서버에서 악성 프로그램을 실행합니다.
log4j2
라이브러리에 로그인합니다.
많은 항목에서 이용되다.
JNDI
Java Naming and Directory Interface
LDAP를 통해 외부 리소스(DB, 디렉토리 서비스 등)의 API에 액세스할 수 있음

package com.sun.jndi

LDAP
LDAP
Lightweight Directory Access Protocol
외부 자원과 통신하는 프로토콜
수정
https://github.com/apache/logging-log4j2/pull/608/commits/755e2c9d57f0517a73d16bfcaed93cc91969bdee
권한이 있는 LDAP의 호스트 및 클래스 정의
입력이 허용되는지 확인하기 위해 수정
사용자로서의 대책
log4j-2.15.0-rc1로 승급
참고 자료

https://www.randori.com/blog/cve-2021-44228/

https://www.lunasec.io/docs/blog/log4j-zero-day/

https://github.com/apache/logging-log4j2/pull/608/commits/755e2c9d57f0517a73d16bfcaed93cc91969bdee

https://github.com/apache/logging-log4j2/pull/607/files