🇰🇷 한글 설명
Apache log4net의 aspnet-request 패턴 변환기에서 예외 상황을 부적절하게 처리하여 발생하는 취약점입니다. 요청 파라미터에 마크업과 같은 특정 콘텐츠가 포함될 경우 레이아웃 오류가 발생하여 앱엔더가 이벤트 전체를 폐기하게 됩니다. 이로 인해 공격자가 자신의 요청에 대한 로그 기록을 의도적으로 누락시킬 수 있습니다.
💡 쉬운 설명
공격자가 특수한 문자를 포함한 요청을 보내 로그 시스템이 오류를 일으키게 만들 수 있습니다. 이를 통해 공격자는 자신의 악성 활동이 로그에 남지 않도록 숨길 수 있습니다.
🇺🇸 원문 (English)
Improper Handling of Exceptional Conditions vulnerability in the aspnet-request pattern converter of Apache log4net.
Reading request parameters triggers ASP.NET request validation, so a request carrying content such as markup made the layout throw and the appender discarded the whole event. A sender could suppress the log record of their own request. Only applications on ASP.NET for .NET Framework whose layout uses %aspnet-request are affected.
This issue affects Apache log4net: from 1.2.11 before 3.5.0.
Users are recommended to upgrade to version 3.5.0, which fixes the issue.
📍 영향받는 시스템
Apache log4net 1.2.11 버전부터 3.5.0 미만 버전 (.NET Framework 기반 ASP.NET 환경)
⚔️ 공격 벡터
ASP.NET 요청 검증을 유발하는 특수 마크업 콘텐츠를 포함한 HTTP 요청 전송
🛡️ 대응 방법
Apache log4net을 3.5.0 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 log4net의 버전이 3.5.0 미만인지 확인하십시오.
dotnet list package | grep log4net