보안

KMS테크놀로지, 오픈소스 보안 취약점 탐지 솔루션 ‘블랙덕’으로 로그4j 취약점 자동 진단

편집부 | ITWorld 2021.12.15
KMS테크놀로지(www.kmstech.co.kr)가 국내에 공급하는 시놉시스의 오픈소스 보안 취약점 탐지 솔루션인 ‘블랙덕(Black Duck)’이 최근 서버에서 폭 넓게 사용하는 오픈소스 로깅 라이브러리인 ‘로그4j’에서 치명적인 보안 취약점(CVE-2021-44228)을 자동으로 탐지해 신속하게 대응하도록 지원한다고 밝혔다.



블랙덕은 소프트웨어에 로그4j 취약점이 포함되었는지 자동으로 탐지한다. 또한 자체적인 보안취약점 데이터베이스(BDSA, Black Duck Security Advisories)를 통해서, NVD(National Vulnerability Database)에 log4j 취약점이 CVE-2021-44228로 등록되기 전에, 취약점 정보를 제공했다. 

로그4j는 프로그램 수행 중에 로그를 남기기 위해 사용되는 JAVA 기반 로깅 유틸리티다. 이번에 발견된 취약점은 로그4j에 존재하는 JNDI(Java Naming and Directory Interface) Injection 취약점으로 이를 악용하면, 악성 코드의 원격 실행(RCE)이 가능하게 된다. 

이 취약점이 심각한 이유는 특별한 준비와 구성이 필요 없이 취약점을 악용할 수 있으며, 전 세계 수많은 서버에서 사용되는 다양한 오픈소스에서 로그4j를 사용하고 있다는 점이다.

보안 취약점의 정보와 위험성 평가를 제공하는 NVD(National Vulnerability Database)에서는 로그4j 취약점의 점수를 가장 높은 10점을 부여한 상황이고 빠른 패치와 대응이 필요한 상황이다. 하지만 다양한 오픈소스 솔루션에서 로그4j를 사용하기 때문에, 확인을 위해서 사용자는 많은 시간을 소모하게 된다. editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.