이번에 큰 이슈가 된 log4j가 어떻게 발견이 되었는지 알고싶습니다 > 질문답변

log4j는 알리바바 보안팀에서 제일 처음 발견되었습니다.
11/30 깃허브 문제 수정 pr 올라오고, 이후
12/9 트위터 게시글로 퍼지게 되어서
12/10 9시 CVE에 등재되었습니다.
https://github.com/advisories/GHSA-jfh8-c2jp-5v3q (참고)

위험도는 1에서 10으로 따졌을때, 100입니다.
심각성은 제로데이 어택으로 불리는 만큼, 심각합니다.
제로데이 어택은, 새로 발견 되었는데 바로 대응책이 나오지 않아
고쳐지기 전까지 공격을 막을 수 없게 노출된 취약점을 의미합니다.

그리고 로그4쉘의 문제점은 사용내용 기록을 읽히는게 목적이나,
해커의 명령이 실행 가능하기때문에 위험합니다.
이미 대응책을 배포하기 전에 공격할 수 있는
우회법들이 많아지고 있어서 문제인 것도 한몫합니다.

si쪽과 전자정부프레임워크 등에서 더 문제가 있겠죠..
로그백으로 바꿔서 진행하지 않는 이상 업데이트를 하면 호환성이 안맞고
이런 문제가 계속 생기면 또 차질이 있을겁니다.

대응이 어려운 문제는 아니나, 지금처럼 1.x도 취약점 발견한 것처럼
빠르게 퍼지고 넓게 공격하니 당했을 경우 치명적이라고 생각하시면 됩니다.

현재 KISA로 대응을 하시면 될 것 같습니다.
1버전도 취약하다고 업데이트 되네요.
계속 업데이트 될거니 참고하시기 바랍니다.

오.. 몰랐었는데 감사합니다