🇰🇷 한글 설명
Apache log4net의 OutputDebugStringAppender에서 NUL 문자를 적절히 처리하지 못해 발생하는 취약점입니다. 로그 내용에 NUL 문자가 포함되면 디버그 출력 기록이 해당 지점에서 종료되어, 이후의 예외 텍스트나 추가 필드 정보가 누락될 수 있습니다.
💡 쉬운 설명
로그 기록 중에 특정 특수 문자를 넣으면 그 뒤에 나오는 중요한 정보들이 보이지 않게 숨길 수 있는 문제입니다. 공격자가 자신의 흔적을 지우기 위해 이 방법을 사용할 수 있습니다.
🇺🇸 원문 (English)
Improper Neutralization of Null Byte or NUL Character vulnerability in the OutputDebugStringAppender of Apache log4net.
A NUL character in logged content ended the debug output record at that point, so everything the layout rendered after it, including exception text and trailing fields, was silently lost. A party whose data reaches a log message could hide the rest of that record. Only applications on Windows that use OutputDebugStringAppender are affected.
This issue affects Apache log4net: from 1.2.9 before 3.5.0.
Users are recommended to upgrade to version 3.5.0, which fixes the issue.
📍 영향받는 시스템
Apache log4net 1.2.9 버전부터 3.5.0 미만 버전 (Windows 환경의 OutputDebugStringAppender 사용 시)
⚔️ 공격 벡터
로그에 기록되는 데이터에 NUL( ) 문자를 삽입하여 로그 기록의 뒷부분을 의도적으로 누락시킴
🛡️ 대응 방법
Apache log4net을 취약점이 해결된 3.5.0 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 log4net의 버전이 3.5.0 미만인지 확인하십시오.
dotnet list package | grep log4net