12월 9일, 일반적으로 사용되는 Java 로깅 라이브러리인 log4j에 대해 CVE 2021-44228이 발표되었습니다. 이후 CVE-2021-45046과 CVE-2021-45105도 발표되었습니다. 우리는 이러한 취약점과 Discourse에 영향을 미치는지에 대한 여러 질문을 받았습니다.
Discourse는 Ruby 애플리케이션이므로 이 Java 라이브러리를 전혀 사용하지 않습니다. 또한, 셀프 호스팅 설치를 위한 표준 설치 지침에는 Java 구성 요소가 포함되어 있지 않습니다.
관리형 discourse.org 호스팅
관리형 discourse.org 호스팅 서비스의 일환으로 우리는 Jenkins, Elasticsearch, Logstash, Kibana 등 일부 Java 기반 애플리케이션을 사용합니다. 취약점에 대해 인지하자마자 개발자로부터의 보안 공지사항에 맞춰 해당 구성 요소들을 모두 확인했습니다.
보고 이후 전체적인 보안 평가를 수행했습니다.
- log4j 취약점에 영향을 받을 수 있는 현재 실행 중인 소프트웨어 감사
- 잠재적 결함의 영향 분석
- 로그 분석
당사의 Jenkins, Elasticsearch 및 Kibana 버전은 해당 취약점의 영향을 받지 않았습니다. Logstash 버전은 특정 조건에서 서비스 거부(DoS) 공격에 취약할 수 있었으나, 광범위하게 보고된 원격 코드 실행(RCE) 취약점에는 취약하지 않았습니다.
이 모든 구성 요소는 최신 버전으로 업데이트되어 현재 Log4j의 최신 버전(2.17)을 실행 중입니다. 자세한 내용은 Elastic의 보안 공지사항과 Jenkins의 블로그 포스트를 참고하십시오.
정보는 빠르게 변화하고 있습니다. 우리는 뉴스를 주시하고 있으며, 필요하다고 판단될 경우 추가 업데이트를 진행할 것입니다.
또한 민감한 벤더들의 log4j 조치 상태를 검증했습니다. 다음은 벤더들이 발표한 일부 공개 공지사항입니다.
일부 벤더와는 비공개로 연락을 취했습니다.