log4j의 Apache "Log4Shell" 취약점이 NuGenesis에 영향을 미칩니까? - WKB224434

환경

• NuGenesis 9
  • Oracle 19c / NuGenesis 9.1
  • Oracle 12c / NuGenesis 9.0
  • JasperSoft Studio v5
• NuGenesis 8
  • Oracle 11gR2
• Log4Shell(Log4j 버전 2)
  • CVE-2021-44228
  • CVE-2021-45046
  • CVE-2021-45105
• Log4Shell(Log4j 버전 1 및 2)
  • CVE-2021-4104

답변

Apache Log4j 취약점 업데이트 2022년 2월 3일

Waters는 2021년 12월 9일에 보안 연구원에 의해 발표된 "zero day" 취약점(CVE-2021-44228)에 대해 인식하고 있으며, 이는 일반 소프트웨어 패키지(Apache Log4J)에 영향을 미칩니다. 왜냐하면 Log4j는 웹 응용 프로그램과 클라우드 서비스 제공 업체에서 널리 사용되기 때문에 이 취약점의 전체 범위는 복잡하며 그 영향은 아직 결정 중입니다. Waters 제품 및 엔지니어링 팀은 Waters의 소프트웨어 제품에 미칠 수 있는 잠재적 영향에 대해 이 문제를 계속 조사하고 있습니다. Waters는 조사 결과에 대한 최신 정보를 제공하고 평가가 완료되면 관련 정보 및/또는 지침을 고객에게 알릴것입니다.

 

Waters NuGenesis

Waters는 NuGenesis 및 Analytical Workflow Manager(AWM) 응용 프로그램 바이너리 및 표준 NuGenesis 배포에 포함된 타사 소프트웨어 코드에 대한 평가를 수행했습니다. 이러한 환경의 취약점 스캔을 통해 Apache Log4j 라이브러리의 존재를 식별할 수 있습니다. Log4j 라이브러리의 버전 1.x 인스턴스 - Apache에 의해 영향을 받지 않는 것으로 표시됨(https://logging.apache.org/log4j/2.x/security.html) - 이는 NuGenesis 소프트웨어의 특정 구성 요소에 존재합니다.

Waters는 지원되는 모든 버전의 NuGenesis 및 Analytical Workflow Manager(AWM)를 테스트한 결과, Waters가 제공한 미디어를 사용하는 Oracle 설치에서 배포된 영향을 받는 Log4j 라이브러리가 포함된 디렉터리를 안전하게 검역하거나 제거할 수 있음을 확인했습니다. zip 또는 이와 동등한 유틸리티를 사용하여 영향을 받는 디렉터리를 보관하여 검역하는 것이 좋습니다. 왜냐하면 단순히 제거하는 것보다는 되돌릴 수 있으므로 오류가 발생할 가능성이 적습니다. Waters의 현재 연구 결과는 다음과 같습니다. 이 페이지에서 추가 업데이트를 계속 확인하십시오.

 

• NuGenesis 8 및 9 SDMS
• 핵심 SDMS 응용 프로그램은 Log4j v2 라이브러리를 사용하지 않습니다.

NuGenesis 9.x 및 NuGenesis 8 SDMS의 모든 데이터 어댑터 릴리스에 포함된 SDMS Instrument Agent에는 다음 위치에 Log4j v1.2.8 라이브러리가 포함되어 있습니다.

<드라이브:>\Program Files\Waters\SDMSInstrumentAgents\lib\org

기기 에이전트는 데이터 어댑터의 옵션 기능이며 모든 시스템에 필요한 것은 아닙니다. 에이전트의 기본 로깅 설정은 JMSAppender 클래스를 사용하지 않으므로 영향을 받지 않습니다. (Apache 보안 경보: https://logging.apache.org/log4j/2.x/security.html 참조)

 

• NuGenesis 8 및 9 LMS
• NuGenesis LMS는 다음 위치에 있는 LMS 서버에서 Log4j 라이브러리를 사용합니다.

NuGenesis 8 LMS 서버:
<드라이브:>\WatersLMSServer\lib\org
<드라이브:>\WatersLMSServer\Jboss-6.0.0.Final\client
<드라이브>\WatersLMSServer\Jboss-6.0.0.Final\common\lib

Jboss Log Manager의 기본 로깅 설정은 JMSAppender 클래스를 사용하지 않으므로 영향을 받지 않습니다(Apache 보안 경보: https://logging.apache.org/log4j/2.x/security.html 참조)

NuGenesis 9.x LMS 서버:
<드라이브:> \WatersLMSServer\Wildfly-11.0.0.Final\modules\system\layers\base\org\jboss\log4j\logmanager\main - 모든 설치에 존재
<드라이브:> \WatersLMSServer\SAPInterface\actback\lib3rd\wildfly - LMS-SAP 인터페이스가 설치된 경우에만 표시됨
<드라이브:> \WatersLMSServer\Workflow\actback\lib3rd\wildfly - NuGenesis Connectors 서버가 설치된 경우에만 표시됨

사용된 Log4j 버전(1.1.4)은 Log4j V2 취약점의 영향을 받지 않습니다(Apache 보안 경고: https://logging.apache.org/log4j/2.x/security.html 참조)

 

• NuGenesis 9.1, 9.2 Oracle 데이터베이스(Oracle 19c)
• NuGenesis 9.1 및 9.2의 기본 설치에는 Apache Log4j 라이브러리를 포함하는 Oracle 데이터베이스가 포함됩니다. 이러한 환경의 취약점 스캔은 Apache Log4j 라이브러리의 취약한 버전을 식별할 수 있습니다. 영향을 받는 Log4j 라이브러리는 다음 위치에 있습니다.

<드라이브:>\oracle\product\19.6.0\Oracle19c\suptools\tfa
Oracle 데이터베이스 소프트웨어와 함께 번들로 제공되는Oracle Trace File Analyzer 제품의 일부입니다. 이에 대한 패치는 Oracle Doc ID 2830143.1에 나와 있습니다. 그러나 이 구성 요소는 NuGenesis 제품 및 디렉터리에 의해 사용되지 않습니다.<드라이브:>\oracle\product\19.6.0\Oracle19c\suptools\tfa는 NuGenesis 의 정상적인 작동에 영향을 주지 않고 검역하거나 제거할 수 있습니다.

<드라이브:>\oracle\product\19.6.0\Oracle19c\md
Oracle 데이터베이스 소프트웨어와 함께 번들로 제공되는 Oracle Spatial 제품의 일부입니다. 이에 대한 패치는 Oracle Doc ID 2830143.1에 나와 있습니다. 그러나 이 구성 요소는 NuGenesis 제품 및 디렉터리에 의해 사용되지 않습니다.<드라이브:>\oracle\product\19.6.0\Oracle19c\md는 NuGenesis 의 정상적인 작동에 영향을 주지 않고 검역하거나 제거할 수 있습니다.

 

• NuGenesis 9.0 Oracle 데이터베이스(Oracle 12c)
• NuGenesis 9.0의 기본 설치에는 Apache Log4j 라이브러리를 포함하는 Oracle 데이터베이스가 포함됩니다. 이러한 환경의 취약점 스캔은 Apache Log4j 라이브러리의 취약한 버전을 식별할 수 있습니다. 영향을 받는 Log4j 라이브러리는 다음 위치에 있습니다.

log4j v1 라이브러리의 버전 1.x 사본은 Oracle Database 12c 및 JasperSoft Studio 프로그램에 존재합니다. 어떤 경우에도 교정이 필요하지 않습니다. (라이브러리는 어디에 있습니까?) 또한 JasperSoft Studio는 NuGenesis LMS용 리포트를 개발하는 데만 사용됩니다. 이 응용 프로그램에 대한 액세스는 Jasper 리포트를 개발하는 사람으로만 제한되어야 합니다.

<드라이브:>\Program Files\TIBCO\Jaspersoft Studio-6.4.0\plugins
버전 1.x Log4j 라이브러리는 영향을 받지 않습니다. (https://community.jaspersoft.com/wik...rsoft-products)

<드라이브:>\oracle\product\12.2.0\Oracle12cR2\ccr\lib
버전 1.x Log4j 라이브러리는 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브:>\oracle\product\12.2.0\Oracle12cR2\sqldeveloper\sqldeveloper\lib
영향을 받는 Log4j 라이브러리가 존재하는 동안에는 SQL Developer에 의해 사용되지 않습니다. (Oracle Doc ID 2828123.1) SQL Developer는 NuGenesis 제품 작동에 사용되지도 않고 필수적이지도 않습니다. 상위 디렉터리 <드라이브:>\oracle\product\12.2.0\Oracle12cR2\sqldeveloper은 NuGenesis 의 정상적인 작동에 영향을 주지 않고 검역하거나 제거할 수 있습니다.

<드라이브:>\oracle\product\12.2.0\Oracle12cR2\oui\jlib\jlib
Oracle Universal Installer는 Log4j 취약점의 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브:>\oracle\product\12.2.0\Oracle12cR2\sysman\jlib\ocm
버전 1.x Log4j 라이브러리는 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

• NuGenesis 8.x
• NuGenesis 8.x의 기본 설치에는 Apache Log4j 라이브러리를 포함하는 Oracle 데이터베이스가 포함됩니다. 이러한 환경의 취약점 스캔은 Apache Log4j 라이브러리의 취약한 버전을 식별할 수 있습니다. 영향을 받는 Log4j 라이브러리는 다음 위치에 있습니다.

<드라이브:>\oracle\product\11.2.0\SDMS\inventory\scripts\ext\jlib
버전 1.x Log4j 라이브러리는 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브:>\oracle\product\11.2.0\SDMS\ccr\lib
버전 1.x Log4j 라이브러리는 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브:>\oracle\product\11.2.0\SDMS\oui\jlib\jlib
Oracle Universal Installer는 Log4j 취약점의 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브:>\oracle\product\11.2.0\SDMS\sysman\jlib
버전 1.x Log4j 라이브러리는 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브:>\oracle\product\11.2.0\SDMS\sysman\jlib\ocm
버전 1.x Log4j 라이브러리는 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

 

• Analytical Workflow Manager(AWM) 2.0
• AWM 2.0의 기본 설치에는 1.x Apache Log4j 라이브러리가 Oracle 데이터베이스가 포함됩니다. 이러한 환경의 취약점 스캔은 Apache Log4j 라이브러리가 탐지될 수 있습니다. Log4j 라이브러리는 다음 위치에 있습니다.

<드라이브>:\app\oracle\product\12.1.0\dbhome_1\ccr
버전 1.x Log4j 라이브러리는 Log4j 취약점의 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브>:\app\oracle\product\12.1.0\dbhome_1\sysman
버전 1.x Log4j 라이브러리는 Log4j 취약점의 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브>:\app\oracle\product\12.1.0\dbhome_1\sqldeveloper
버전 1.x Log4j 라이브러리는 Log4j 취약점의 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

<드라이브>:\app\oracle\product\12.1.0\dbhome_1\oui
Oracle Universal Installer는 Log4j 취약점의 영향을 받지 않습니다. (Oracle Doc ID 2830143.1)

 

• Waters는 또한 NuGenesis와 함께 자주 사용되는 다음 제품에 대한 log4j 취약점의 영향을 평가했습니다. 초기 조사 결과 영향이 없는 것으로 확인되었으며, 다음 사항을 계속해서 평가합니다.
• Paradigm - Log4j 라이브러리는 Paradigm의 기본 설치에 존재하지 않습니다.

추가 정보