영향을 받는 버전: 3.0.59 이하
고정: 3.0.60
취약점 식별자: NR22-01
우선 순위: 높음
요약
New Relic은 특히 log4j 버전 1.2.17의 하위 종속성을 제거하기 위해 CPM(Containerized Private Minion) 버전 3.0.60을 출시했습니다.
New Relic은 log4j 버전 1.2.17이 버전 3.0.60 이전 Containerized Private Minions용 빌드 패키지의 하위 종속 항목에 포함되었음을 확인했습니다. Log4j 버전 1.x에는 CVE-2021-4104 및 CVE- 2019-17571의 뛰어난 높고 중요한 CVE가 있으며 이러한 문제를 해결하기 위해 Apache Foundation에서 더 이상 지원을 받지 않습니다.
작업 항목
가능한 한 빨리 모든 Containerized Private Minions를 버전 3.0.60 이상으로 업그레이드하는 것이 좋습니다. 이 버전은 종속성에서 log4j 버전 1.x의 모든 사용을 완전히 제외했습니다. Helm Charts 버전 1.0.48을 통해 CPM을 업데이트할 수 있습니다.
이 단계는 New Relic Containerized Private Minion(CPM)에서만 log4j 취약점을 수정하는 데 도움이 됩니다. 다른 New Relic 제품의 log4j에 대한 추가 보안 지침은 설명서 페이지 에서 New Relic의 보안 게시판을 검토하십시오.
애플리케이션에서 직접 log4j를 사용하는 고객은 Apache Log4j 보안 취약성 페이지 에서 고려해야 할 수정 세부 정보를 주의 깊게 검토해야 합니다.
기술 링크
자주 묻는 질문
이미 CPM(Containerized Private Minion) 버전 3.0.58로 업데이트했습니다. 버전 3.0.60으로 업데이트해야 합니까?
예, New Relic은 Containerized Private Minion 빌드 패키지에서 식별된 log4j 하위 종속성의 심각한 취약점을 해결하기 위해 현재 업데이트할 것을 강력히 권장합니다. Apache Foundation은 프로젝트가 지원되지 않고 미해결 취약점이 있기 때문에 log4j 버전 1.x의 모든 사용을 중단하라는 권장 사항을 발표했습니다. CPM 3.0.60 이상 버전은 log4j 버전 1.x를 사용하지 않고 사용할 수 있는 유일한 CPM 버전입니다.
출판 이력
2022년 1월 13일 - NR22-01 게시됨