안녕하세요.쉽게 시작하는 비즈니스 토탈 IT 브랜드, 아이티이지 보안관제센터입니다. 최근 Apache 소프트웨어 Log4j 2에서 발생하는 취약점을 악용한 공격이 발생하고 있어 보안 권고 사항을 아래와 같이 전달해드리오니 참고하시어 피해가 발생하지 않도록 조치를 당부드립니다.기존 업데이트 안내드린 Log4j 2.16.0 이하버전에서 서비스 거부 취약점(CVE-2021-45105)이 확인되어 아래와 같이 해결방안 및 보안 권고 사항 재안내드립니다. [아이티이지에서 서버 및 클라우드 이용 고객 대상]□ 매니지드서비스(관리대행) 고객 대상 : 아이티이지 전문 인력이 직접 매니지드 대상 고객사들의 서비스 파악 및 조치를 지원해드리고 있습니다.   (단, 최대한 빠르게 노력하고 있으나 순차적으로 이루어질 수 있어 조속히 조치를 원하시는 고객사께서는 가이드에 따라 직접 조치도 가능합니다.)□ 보안서비스 (웹방화벽/IPS 등) 이용 고객 대상 : 아이티이지의 보안관제센터에서 차단 패턴 및 탐지 시그니처 적용등을 통해 앞단에서 조치를 해드리고 있습니다. 그러나 우회 공격 등으로 인한 피해가   발생할 수 있으니 첨부된 가이드에 따라 조치를 권고드립니다.□ 관리대행 서비스를 미 이용중인 고객사의 경우 아이티이지에서 운영하시는 서버에 대한 정보가 없기 때문에 제공드리는 가이드에 따라  조치를 권고드립니다. 가이드에 따라 조치가 힘드신 경우 작업의뢰를 통해 도움이 필요한 사항을 남겨 주시기 바랍니다.* 자체 점검 방법 및 조치 가이드: 첨부된 파일 참고 * 작업의뢰 : https://mypage.iteasy.co.kr/idc/retainer[보안 업데이트 상세 내용]□ 개요o Apache 소프트웨어 재단은 자사의 Log4j 2에서 발생하는 취약점을 해결한 보안 업데이트 권고[1]o 공격자는 해당 취약점을 이용하여 정상 서비스 중지 등의 피해를 발생시킬수 있으므로, 최신 버전으로 업데이트 권고 ※ Log4j 취약점을 이용한 침해사고 발생시 한국인터넷진흥원에 신고해 주시기 바랍니다.□ 주요 내용o Apache Log4j 2에서 발생하는 서비스 거부 취약점(CVE-2021-45105)[2] ※ Log4j : 프로그램 작성 중 로그를 남기기 위해 사용되는 자바 기반의 오픈소스 유틸리티□ 영향을 받는 버전o CVE-2021-45105  - 2.0-beta9 ~ 2.16.0 버전 (Log4j 2.12.3 제외)  ※ log4j 2.12.3버전의 경우 Apache 보안업데이트가 완료될 경우 다운로드 페이지 안내 예정□ 대응방안 (첨부된 가이드 참고)o 제조사 홈페이지를 통해 최신버전으로 업데이트 적용[3]  ※ 제조사 홈페이지에 신규버전이 계속 업데이트되고 있어 확인 후 업데이트 적용 필요  - Java 8 : Log4j 2.17.0으로 업데이트[1]  ※ Java 7 버전의 경우 Apache 보안업데이트가 완료될 경우 게시 예정  ※ log4j-core-*.jar 파일 없이 log4j-api-*.jar 파일만 사용하는 경우 위 취약점의 영향을 받지 않음  o 신규 업데이트가 불가능할 경우 아래의 조치방안으로 조치 적용 - PatternLayout에서 ${ctsx:loginId} 또는 $${ctx:loginId}를 (%X, %mdc, or %MDC)로 변경 - ${ctx:loginId} 또는 $${ctx:loginId}를 제거□ 참고사이트[1] apache 보안업데이트 현황 : https://logging.apache.org/log4j/2.x/security.html[2] 취약점 정보 : https://nvd.nist.gov/vuln/detail/CVE-2021-45105[3] 신규버전 다운로드 : https://logging.apache.org/log4j/2.x/download.html앞으로도 안정적이고 더 좋은 서비스를 제공하기 위해 노력하는 아이티이지가 되겠습니다.감사합니다.IT is easy, ITEASY!