Cisco Contact Center 솔루션의 Apache Log4j 취약성 영향 이해

소개

이 문서에서는 Apache Log4j 취약점이 Cisco Contact Center(UCCE) 제품 라인에 미치는 영향을 설명합니다.

사전 요구 사항

요구 사항

이 문서에 대한 특정 요건이 없습니다.

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• Cisco Unified Contact Center 제품 버전 11.6 이상

배경 정보

Apache는 최근 Log4j 구성 요소의 취약점을 발표했습니다. Apache는 Cisco Contact Center 솔루션에서 널리 사용되고 있으며, Cisco는 제품 라인업을 적극적으로 평가하여 무엇이 안전하고 무엇이 영향을 받는지 확인하고 있습니다.

참고:  자세한 내용은 Cisco Security Advisory - cisco-sa-apache-log4j를 참조하십시오.

추가 정보는 이 문서에서 제공됩니다.

애플리케이션	결함 ID	11.6.(2)	12.0(1)	12.5(1)	12.6(1)
UCCE/ICM	CSCwa47273	패치 - 11.6(2)_ES84 ReadMe	패치 - 12.0(1)_ES91 ReadMe	패치 - 12.5(1)_ES101 ReadMe 참고 1: ES_55 패치 필요, OpenJDK 마이그레이션 문서 참조 참고 2: Tomcat 버전 확인 - 아래의 "ICM 서버의 Tomcat 버전 확인" 섹션 참조	패치 - 12.6(1)_ES17 ReadMe
PCCE	CSCwa47274	패치 - 11.6(2)_ES84 ReadMe	패치 - 12.0(1)_ES91 ReadMe	패치 - 12.5(1)_ES101 ReadMe 참고 1: ES_55 패치 필요, OpenJDK 마이그레이션 문서 참조 참고 2: Tomcat 버전 확인 - 아래의 "ICM 서버의 Tomcat 버전 확인" 섹션 참조	패치 - 12.6(1)_ES17 ReadMe
CTIOS		영향을 받지 않음	영향을 받지 않음	영향을 받지 않음	영향을 받지 않음
애플리케이션	결함 ID	11.6(1)	12.0(1)	12.5(1)	12.6(1)
CVP	CSCwa47275	패치 - 11.6(1) ES16 Readme	패치 - 12.0(1)_ES10 ReadMe	패치 - 12.5(1)_ES25 ReadMe	패치 - 12.6(1)_ES9 ReadMe
VVB	CSCwa47397	영향을 받지 않음	영향을 받지 않음	패치 - 12.5(1)_ES12 Readme	패치 - 12.6(1)_ES03 ReadMe * 2021년 12월 29일에 게시된 패치 사용
Call Studio	CSCwa54008	Callstudio_11.6_Log4j_fix ReadMe	Callstudio_12.0(1)_Log4j_fix ReadMe	Callstudio_12.5(1)_Log4j_fix ReadMe	Callstudio_12.6(1)_Log4j_fix ReadMe
Finesse	CSCwa46459	영향을 받지 않음	영향을 받지 않음	영향을 받지 않음	패치 - 12.6(1)_ES3 ReadMe
CUIC	CSCwa46525	영향을 받지 않음	영향을 받지 않음	영향을 받지 않음	패치 - 12.6(1)_ES03 ReadMe
Live Data(LD)	CSCwa46810	패치 - 11.6.1_COP23 ReadMe	패치 - 12.0(1)_ES18 ReadMe	패치 - 12.5(1)_ES13 ReadMe	패치 - 12.6(1)_ES03 ReadMe
IDS		영향을 받지 않음	영향을 받지 않음	영향을 받지 않음	영향을 받지 않음
CUIC Co-res(CUIC-LD-IDS)	CSCwa46810	패치 - 11.6.1_COP23 ReadMe	패치 - 12.0(1)_ES18 ReadMe	패치 - 12.5(1)_ES13 ReadMe	패치 - 12.6(1)_ES03 ReadMe
CloudConnect	CSCwa51545			영향을 받지 않음	패치 - 12.6(1)_CC_COP
ECE	CSCwa47392	영향을 받지 않음	패치 - 12.0(1)_ES6_ET2 ReadMe	패치 - 12.5(1)_ES3_ET2 ReadMe	패치 - 12.6(1)_ET2 ReadMe
CCMP	CSCwa47383	영향을 받지 않음	영향을 받지 않음	패치 - 12.5(1)_ES6 ReadMe	패치 - 12.6(1)_ES3 ReadMe
CCDM	CSCwa47383	영향을 받지 않음	영향을 받지 않음	패치 - 12.5(1)_ES6 ReadMe	패치 - 12.6(1)_ES3 ReadMe
Google CCAI	Google에서 CCAI 기능 세트가 영향을 받지 않음을 확인함
Webex Experience Management(WxM)	WxM은 사용자 log4j를 사용하지 않으므로 솔루션이 영향을 받지 않음
Customer Collaboration Platform(CCP)	CSCwa47384	영향을 받지 않음	영향을 받지 않음	영향을 받지 않음	영향을 받지 않음

* 릴리스 날짜는 변경될 수 있으며 패치가 릴리스되면 필요에 따라 업데이트됩니다.  

ICM 서버의 Tomcat 버전 확인

1. ICM 서버(라우터, 로거, PG, AW 서버)에서 "<ICM HOME>\tomcat\bin\version.bat" 파일을 실행하여 설치된 Tomcat의 버전을 확인합니다.
2. Tomcat 버전이 9.0.37 이상인 경우 다음 단계를 수행하여 결함 "CSCvv73307"을 수정합니다.
3. 서버에 ES_81 패치를 설치합니다. ICM 서버에 81보다 큰 ES가 있는 경우 먼저 해당 ES를 제거해야 합니다.

      - 12.5(1)_ES81 패치 - https://software.cisco.com/download/specialrelease/0aab225ecde522734cc6c6491ad1eb42

      - 12.5(1)_ES81 ReadMe - https://www.cisco.com/web/software/280840583/158250/Release_Document_1.html

4. ES_81을 성공적으로 설치한 후 "<ICM HOME>\tomcat\bin\version.bat" 파일을 실행하여 Tomcat 버전을 다시 확인하십시오.
5. Tomcat 버전은 1단계와 동일하게 유지되어야 합니다. 동일한 경우 원하는 모든 ES를 순서대로 다시 설치하고 log4j 패치(예: ES_101)를 포함하여 다시 설치합니다.

자주 묻는 질문

Q.1 최신 정보로 문서를 수정하는 빈도는 얼마나 됩니까? 

답변:  문서는 매일 검토되고 오전(미국 시간 기준)에 업데이트됩니다.

Q.2 ICM 버전 (라우터, 로거, AW, PG) 10.x, 11.0(x), 11.5(x) 및 11.6(1)이 영향을 받습니까? 

답변: 이러한 버전은 1.X 버전의 log4j를 사용하므로 영향을 받지 않습니다.

참고: 권고 표에는 유지 보수 중인 버전의 특정 버그가 나열되어 있습니다. 강조 표시되지 않은 버전은 소프트웨어 유지 보수가 종료되며 검토 대상으로 고려되지 않습니다.     

Q.3 패치는 언제 릴리스됩니까?

답변: 권고 테이블에서는 임시 패치 릴리스 날짜가 강조 표시되어 있습니다. 사용 가능한 경우 관련 링크로 표가 업데이트됩니다.  

Q.4 수정이 준비될 때까지 구현할 수 있는 해결 방법은 무엇입니까?

답변: PSIRT 권고를 따르고, 영향을 받는 버전에 대해 릴리스되면 가능한 한 빨리 패치를 적용하는 것이 좋습니다.  

Q.5 CUIC Standalone 11.6(1)은 log4j의 영향을 받지 않습니다. 그러나 ES의 readme에는 서버에 필요한 패치가 나와 있습니다. 그 이유는 무엇입니까? 

답변: 이 ES는 log4j만 수정하는 독립형 ES가 아닙니다. 이 ES23은 VOS 제품에 적용되는 것과 같은 누적 ES입니다. 즉, 고객이 언제든지 사용할 수 있는 최신의 누적 ES가 하나뿐입니다. 이 시나리오에서는 Cu가 독립형 CUIC 11.6 ES 21(또는 이전)이고, ES22의 CUIC 결함 수정이 필요한데, 이 경우에는 ES23을 설치해야 합니다(ES는 누적식이며 최신 버전의 ES만 고객에게 제공됨). 또한 이 log4j 결함은 ES Readme의 LD 결함 아래에 언급되어 있습니다. ES 설치 중에 결함 수정은 구축을 기반으로 적절히 설치됩니다(예: ES 설치 전에 - 독립형 CUIC /co-res CUIC/LD가 적용되는지 여부와 결함 수정이 적절하게 적용되는지 여부에 따라 구축 확인이 이루어짐). 

Q.6 조직 보안 스캐너(예: Qualys)가 UCCE 제품 패치 이후 CVE-2021-45105를 탐지하는 경우 어떤 조치를 취합니까?

답변: Cisco에서 CVE-2021-45105를 검토했으며, 이 취약점의 영향을 받는 Cisco 제품 또는 클라우드 제품이 없음을 확인했으므로 별도의 조치가 필요하지 않습니다. 이 정보는 권고에서도 강조 표시되어 있습니다. Log4j 버전 2.16.0이 DDoS에 취약해지려면 익스플로잇을 위해 비기본 구성이 필요합니다. 즉, 공격자가 log4j 구성 파일을 수동으로 수정해야 하며, 이는 UCCE 제품에서는 불가능하므로 CVE-2021-45105는 해당되지 않습니다.

Q.7 시스템에 오래된 Log4j ".jar"파일(예: 1.2x 파일)이 표시되면 어떻게 해야 합니까?

답변: 롤백 프로세스가 중단되지 않도록 이전 파일을 남겨두는 것이 좋습니다. 시스템에 이러한 파일의 비활성 버전이 있어도 구성 요소가 취약해지지 않습니다.

하지만 파일을 제거해야 하는 경우 프로덕션 단계를 구현하기 전에 랩에서 원하는 프로세스를 테스트하여 영향을 최소화하는 것이 좋습니다. 또한 활동에 문제가 있는 경우 시스템을 복구할 수 있도록 백업 및 롤백 계획을 세우는 것이 좋습니다.