Log4Shell — a logging line that executes attacker code

The Log4j zero-day (CVE-2021-44228) turned a logged string into remote code execution across half the internet, the canonical lesson that a dependency's feature is your attack surface.

Not yet scoped.

Why

The PoC studies the JNDI-lookup mechanism in a sandbox and the patch timeline, treating 'what does logging even do' as the security question the incident forced everyone to ask.

How it works

Not yet built.

Where it lands in Jayverse

CI: audit what every logging call actually does with untrusted input. Rabbit, Verex, and Wallet all log request or transaction data; treat any logging library feature that can execute code or fetch a remote resource on a logged string as an attack surface, the way Log4Shell forced onto Log4j.
Auditor: add "what does this dependency's logging do with attacker input" as a standing check. A dependency's convenience feature is jay's attack surface; this is a cheap line item for the Auditor row to check on every pinned OpenZeppelin or third-party submodule.
gitboard: track logging-library CVEs for pinned dependencies. Since OpenZeppelin contracts are pinned as submodules and other dependencies are lockfile-frozen, gitboard is a natural place to flag a Log4Shell-class CVE the moment a frozen lockfile would otherwise hide it.

Key expressions

Words and phrases from this page worth keeping, with the Korean meaning and the sentence they come from.

Expression	뜻 · 쓰이는 자리
zero-day	(패치가 나오기 전) 알려지지 않은 취약점 · Log4j 사태를 가리키는 표현. "The Log4j zero-day (CVE-2021-44228)"
attack surface	공격 표면, 공격에 노출된 지점 전체 · 의존 라이브러리의 기능 자체가 위험 요소가 된다는 뜻. "a dependency's feature is your attack surface"
canonical lesson	대표적인, 정석으로 꼽히는 교훈 · 이 사건이 업계 전체에 남긴 교훈을 가리킬 때. "the canonical lesson that a dependency's feature is your attack surface"
turn X into Y	X를 Y로 바꿔버리다 · 로그 문자열 하나가 원격 코드 실행으로 이어진 상황. "turned a logged string into remote code execution"
patch timeline	패치가 이루어진 시간 흐름 · 사건 이후 대응 경과를 살펴볼 때. "the patch timeline"
CVE	공개된 보안 취약점 식별 번호 체계(Common Vulnerabilities and Exposures) · Log4Shell을 가리키는 공식 식별번호. "The Log4j zero-day (CVE-2021-44228)"
JNDI	자바 네이밍/디렉터리 인터페이스(Java Naming and Directory Interface) · 로그 문자열을 통해 원격 코드 실행으로 악용된 조회 메커니즘. "The PoC studies the JNDI-lookup mechanism in a sandbox"
Log4j	자바용 로깅 라이브러리(Apache Log4j) · 이번 취약점(Log4Shell)이 발생한 대상 라이브러리. "The Log4j zero-day (CVE-2021-44228) turned a logged string"

← All Knowledge Notes · Workspace Index · Top ↑

Log4Shell — 공격자 코드를 실행하는 로그 한 줄

Log4j 제로데이(CVE-2021-44228)는 로그에 남긴 문자열을 인터넷 절반에서 원격 코드 실행으로 바꿨으며, 의존성의 기능이 곧 내 공격 표면이라는 정전급 교훈입니다.

아직 범위 미정.

왜

이 PoC는 샌드박스에서 JNDI 조회 메커니즘과 패치 타임라인을 연구하며, '로그가 대체 무엇을 하는가'를 이 사건이 모두에게 강제한 보안 질문으로 다룹니다.

동작 방식

아직 만들지 않음.

Jayverse에서의 위치

CI: 모든 로깅 호출이 신뢰할 수 없는 입력으로 실제로 무엇을 하는지 감사한다. Rabbit, Verex, Wallet 모두 요청이나 트랜잭션 데이터를 로깅한다. 로깅된 문자열로 코드를 실행하거나 원격 자원을 가져올 수 있는 로깅 라이브러리 기능은, Log4Shell이 Log4j에 강제했던 것과 같은 공격면으로 취급한다.
Auditor: "이 의존성의 로깅이 공격자 입력으로 무엇을 하는가"를 상시 점검 항목으로 추가한다. 의존성의 편의 기능이 곧 공격면이라는 것은, 고정된 OpenZeppelin이나 다른 서드파티 서브모듈마다 Auditor 행이 확인할 값싼 항목이다.
gitboard: 고정된 의존성의 로깅 라이브러리 CVE를 추적한다. OpenZeppelin 컨트랙트는 서브모듈로 고정되고 다른 의존성은 락파일로 고정되어 있으므로, gitboard는 고정된 락파일이 오히려 숨길 수 있는 Log4Shell급 CVE를 바로 표시할 자연스러운 자리다.

핵심 표현

이 페이지의 영어 본문에서 배울 만한 단어와 표현, 뜻과 나온 자리.

Expression	뜻 · 쓰이는 자리
zero-day	(패치가 나오기 전) 알려지지 않은 취약점 · Log4j 사태를 가리키는 표현. "The Log4j zero-day (CVE-2021-44228)"
attack surface	공격 표면, 공격에 노출된 지점 전체 · 의존 라이브러리의 기능 자체가 위험 요소가 된다는 뜻. "a dependency's feature is your attack surface"
canonical lesson	대표적인, 정석으로 꼽히는 교훈 · 이 사건이 업계 전체에 남긴 교훈을 가리킬 때. "the canonical lesson that a dependency's feature is your attack surface"
turn X into Y	X를 Y로 바꿔버리다 · 로그 문자열 하나가 원격 코드 실행으로 이어진 상황. "turned a logged string into remote code execution"
patch timeline	패치가 이루어진 시간 흐름 · 사건 이후 대응 경과를 살펴볼 때. "the patch timeline"
CVE	공개된 보안 취약점 식별 번호 체계(Common Vulnerabilities and Exposures) · Log4Shell을 가리키는 공식 식별번호. "The Log4j zero-day (CVE-2021-44228)"
JNDI	자바 네이밍/디렉터리 인터페이스(Java Naming and Directory Interface) · 로그 문자열을 통해 원격 코드 실행으로 악용된 조회 메커니즘. "The PoC studies the JNDI-lookup mechanism in a sandbox"
Log4j	자바용 로깅 라이브러리(Apache Log4j) · 이번 취약점(Log4Shell)이 발생한 대상 라이브러리. "The Log4j zero-day (CVE-2021-44228) turned a logged string"

← 전체 기술 노트 · 워크스페이스 인덱스 · 맨 위 ↑