🚑 ملاحظة: يجب على عملاء SAS الراغبين في تصحيح نشرات SAS 9.4 أو SAS Viya 3.x اتباع التعليمات المحددة الواردة في وثائق مركز مساعدة SAS.

ما هو هذا المشروع

هذا المشروع هو فرع مبكر من logpresso/CVE-2021-44228-Scanner، تم تعديله في البداية لفحص الأرشيفات بشكل متكرر وإضافة دعم لضغط tar/gz. منذ التفرع، تطور المشروع بالتوازي مع المشروع الأصلي وينفذ العديد من الميزات المشابهة، على الرغم من إعادة كتابة معظم الكود. بينما تم استبدال وظيفة "الإصلاح" الأصلية بطريقة patch تدعم بعض الحالات المتداخلة العميقة وتكون أكثر تسامحًا مع الفشل والتراجع، فإن آلية الكشف (أمر scan) تستمر في العمل بطريقة مشابهة جدًا للأصل.

كيف أحصل عليه

يمكنك تنزيل نسخة من الأداة من صفحة الإصدارات أو باتباع الروابط في أعلى هذه الصفحة. الصورة الأصلية هي ملف تنفيذي مستقل يعمل على EL7 والإصدارات الأحدث. يمكن تشغيل ملف jar باستخدام java -jar على JRE 1.8+. هذه حاليًا أفضل طريقة لتشغيله على المنصات الأخرى والإصدارات الأقدم من glibc (بما في ذلك Windows وAIX وSolaris وغيرها).

بعد تنزيل الصورة الأصلية، من الضروري تنفيذ chmod +x على الملف قبل تشغيله.

كيف أستخدمه

بناء جملة الأوامر هو نفسه سواء قمت باستدعاء ملف .jar أو الملف التنفيذي الأصلي. على سبيل المثال، هذا:

مطابق وظيفيًا لهذا

يوفر أمر loguccino help توثيقًا للأوامر المتاحة.

فحص ملفات .jar المعرضة للخطر

سيؤدي هذا إلى اجتياز جميع الدلائل الفرعية في /path/to/approot، بما في ذلك الاجتياز المتكرر لجميع الأرشيفات المتداخلة .tar.gz و.tgz و.tar و.zip و.ear و.war و.jar.

سيتم إنشاء ملف .csv باسم loguccino-scan-[datetime].csv في دليل العمل، يحتوي على البيانات التالية:

• AffectedFile هو المسار الكامل على نظام الملفات للملف الذي تم العثور عليه يحتوي على الثغرة. مثال على القيمة: /opt/sas/config/Lev1/Web/Staging/sas.webreportstudio4.4.21w47AIX.ear/install/deploy/21w47SASConfig/Lev5/Web/Staging/sas.webreportstudio4.4.21w47AIX.ear
• NestedPath هو المسار داخل الملف المؤرشف حيث تم العثور على الثغرة. على سبيل المثال، هنا تم العثور على ملف log4j-core-2.1.jar في أرشيف WRS .war، المعبأ داخل أرشيف .ear (AffectedFile أعلاه) opt/sas/config/Lev1/Web/Staging/sas.webreportstudio4.4.21w47AIX.ear::sas.webreportstudio.war::WEB-INF/lib/log4j-core-2.1.jar
• AffectedVersion هو إصدار Log4J الذي تم العثور عليه داخل الملف المتأثر على المسار المتداخل.
• Patched يشير إلى ما إذا كانت هذه النسخة من ملف Log4J jar المعرض للخطر داخل هذا الأرشيف قد تم تصحيحها بالفعل.

مزيد من المعلومات حول أمر الفحص متاح عبر ./loguccino help scan.

تصحيح ملفات .jar المعرضة للخطر

إذا تم العثور على ثغرات، يتم استخدام loguccino-scan-[datetime].csv كمدخل لأمر التصحيح:

يقوم هذا بإزالة كل ثغرة تم العثور عليها، وينشئ دليل loguccino-patch-[timestamp] يحتوي على نسخة احتياطية من كل ملف تم تصحيحه. حيث تم تصحيح ملف لثغرات متعددة (مثل أرشيف نسخ احتياطي أكبر يحتوي على أدوات أو إصدارات برامج متعددة)، يتم نسخ إصدارات متعددة من الملف المصحح احتياطيًا في كل مرحلة من العملية لتمكين التراجع المرحلي في حالة الفشل.

ملاحظة:
تصحيح ملف على القرص لا يصحح إصدار البرنامج الذي يعمل بالفعل على المضيف. تذكر أنه يجب عليك إيقاف الخدمات / التطبيقات ذات الصلة قبل التصحيح وإعادة تشغيلها بعد التصحيح حتى تدخل التغييرات حيز التنفيذ.

مزيد من المعلومات حول أمر التصحيح متاح عبر ./loguccino help patch.

عرض توضيحي

المشكلات المعروفة

اجتياز الأرشيفات التالفة

عند فحص الثغرات، قد يتم الإبلاغ عن بعض الأرشيفات على أنها تالفة (يحدث هذا أيضًا مع الأرشيفات المتداخلة حيث لا تتطابق طرق الضغط مع امتداد الأرشيف). سيقوم أمر الفحص بطباعة المسار إلى هذه الأرشيفات في logpresso-scan-[datetime].log. إذا اعتُبرت مهمة، يجب فك ضغط هذه الأرشيفات وفحصها (أو مسحها) يدويًا للتأكد من أنها تالفة بالفعل.

المشكلات غير المعروفة

إذا واجهت أي أخطاء أو سلوك غير متوقع، يرجى فتح مشكلة وإرفاق أي خطوات لإعادة إنتاج الخطأ إلى جانب معلومات أساسية أخرى.

طلبات السحب والتحديثات على الكود مرحب بها ومشجعة.