Apache Log4j2 취약점(Log4shell)

문제

최근 노출된 취약점으로 인해 Log4j Apache 라이브러리를 사용하는 제품에서 원격 코드 실행이 가능하게 되었습니다.

환경

다음 제품 버전 이하는 영향을 받는 것으로 확인되었습니다.

Tableau Server 2021.4, 2021.3.4, 2021.2.5, 2021.1.8, 2020.4.11, 2020.3.14, 2020.2.19, 2020.1.22, 2019.4.25, 2019.3.26, 2019.2.29, 2019.1.29, 2018.3.29
Tableau Desktop 2021.4, 2021.3.4, 2021.2.5, 2021.1.8, 2020.4.11, 2020.3.14, 2020.2.19, 2020.1.22, 2019.4.25, 2019.3.26, 2019.2.29, 2019.1.29, 2018.3.29
Tableau Prep Builder 2021.4.1, 2021.3.2, 2021.2.2, 2021.1.4, 2020.4.1, 2020.3.3, 2020.2.3, 2020.1.5, 2019.4.2, 2019.3.2, 2019.2.3, 2019.1.4, 2018.3.3
Tableau Public Desktop 클라이언트 2021.4
Tableau Reader 2021.4
Tableau Bridge 20214.21.1109.1748, 20213.21.1112.1434, 20212.21.0818.1843, 20211.21.0617.1133, 20204.21.0217.1203, 20203.20.0913.2112, 20202.20.0721.1350, 20201.20.0614.2321, 20194.20.0614.2307, 20193.20.0614.2306, 20192.19.0917.1648, 20191.19.0402.1911, 20183.19.0115.1143

해결 방법

옵션 1: Tableau 업데이트

유지 관리 유효 기간이 지나지 않은 고객님의 경우, 영향을 받는 버전(2021년 12월 15일 이전의 모든 제품 릴리스)을 업데이트하지 않았거나 2021년 12월 15일 제품 릴리스로 업데이트한 경우 다음과 같은 더 새로운 릴리스 중 하나로 업데이트하세요.

2021년 12월 15일 Tableau 제품 릴리스에서 Log4j2 파일을 2.15 버전으로 업데이트했습니다. 아직 진단 또는 보조 구성 요소가 남아 있을 수 있습니다. 취약한 JNDI 조회 기능을 사용하지 않도록 구성을 변경하여 이러한 미해결 구성 요소를 완화했습니다.

Tableau Server 2021.4.1, 2021.3.5, 2021.2.6, 2021.1.9, 2020.4.12
Tableau Desktop 2021.4.1, 2021.3.5 2021.2.6, 2021.1.9, 2020.4.12
Tableau Prep Builder 2021.4.2
Tableau Public Desktop 클라이언트 2021.4.1
Tableau Reader 2021.4.1
Tableau Bridge 20214.21.1214.2057

2021년 12월 19일 Tableau Product 릴리스에서 JNDI 조회를 기본적으로 사용하지 않도록 설정하는 Log4j 2.16 릴리스를 통합했습니다. 이 조치는 CVE-2021-44228 및 CVE-2021-45046을 모두 해결합니다.

Tableau Server 2021.4.2+, 2021.3.6+, 2021.2.7+, 2021.1.10+, 2020.4.13+
Tableau Desktop 2021.4.2+, 2021.3.6+, 2021.2.7+, 2021.1.10+, 2020.4.13+
Tableau Prep Builder 2021.4.4 이상(2022년 1월 18일 이후 릴리스)
Tableau Public Desktop 클라이언트 2021.4.2+
Tableau Reader 2021.4.2+
Tableau Bridge 20214.21.1109.1748+

2021년 12월 19일 발표된 제품 릴리스로 업데이트하면 현재 CVE-2021-44228 및 CVE-2021-45046에서 식별된 보안 문제를 해결하게 됩니다.

옵션 2: 다음과 같은 경우 옵션 2에 설명된 완화 단계 실행:

2021년 12월 15일에 발표된 제품 릴리스로 업데이트했고, 더 새로운 릴리스로 업데이트할 수 없음(이유: 유지 관리 유효 기간이 지남, 또는 회사 업데이트 기간을 벗어남 등)
영향을 받는 버전(2021년 12월 15일 이전에 릴리스된 모든 제품 버전)을 사용 중이며 더 새로운 릴리스로 업데이트할 수 없음