log4j 버전확인 질문드립니다ㅠㅠㅠㅠ

Question

WEB-INF/lib 폴더에

log4j-1.2.17.jar

log4j-api-2.1jar

log4j-core-2.1.jar

log4j-over-slf4j-1.7.7.jar

log4j-slf4j-impl.2.1.jar

log4jdbc-remix-0.2.7.jar

log4sql-0.9.jar

log4로 시작하는 파일들이 있는데

log4j-1.2.17.jar 이 버전만 확인하면 되는건지 jar 버전들도 확인을 해야하는거지..

log4j 버전확인해서 제출해달라고 하는데 무엇을 보고 버전을 체크해야할지 모르겠네요..

취약대상인가요?

제타건담 · Accepted Answer

apache log4j 에서 zip 이나 tar 파일로 다운로드 형태로 제공되는 파일과 비교해보면..

log4j-api-2.1jar

log4j-core-2.1jar

log4j-slf4j-impl.2.1.jar

이 3개네요..

요 3개만 놓고 보면 2.1 버전이네요..

Apache Log4j 사이트에서 바이너리 zip 파일 다운로드 받으신뒤 해당 zip 파일 안에 있는 jar 파일과 같은 형태의 파일이 있는지 조회해보세요..

그리고 log4j-1.2.17.jar 이거는 예전 log4j 버전 1.2.17 이기 때문에 일단은 백업하고 지우세요..문제가 발생하면 원복해야하기땜에..그러나 1.2.17 버전은 이번 문제의 대상에 속하지는 않기 때문에 삭제를 하지 않으셔도 될겁니다..다만 삭제를 권하는 이유는 옛날 버전이기 때문에 보안에 대한 잠재적 위험성이 존재할 가능성이 있어서 지우라고 말씀드린거구요..

나머지 라이브러리는 log4j 에서 배포하는게 아니라 기타 다른 라이브러리에서 log4j 연동 관련으로 사용되는 라이브러리에요..

log4j 버전확인 질문드립니다ㅠㅠㅠㅠ

1개의 답변

Q&A 목록