فحص Arctic Wolf Log4Shell العميق

صُمم فحص Arctic Wolf Log4Shell العميق لاكتشاف حزم تطبيقات Java المعرّضة لـ CVE-2021-44228 و CVE-2021-45046.

المعلومات القانونية

حقوق النشر 2021، Arctic Wolf Networks, Inc.

تُرخّص لك Arctic Wolf Networks, Inc. هذا الملف بموجب رخصة Apache، الإصدار 2.0 (the "License"). لا يجوز لك استخدام هذا الملف إلا وفقًا للامتثال للرخصة. يمكنك الحصول على نسخة من الرخصة من http://www.apache.org/licenses/LICENSE-2.0.

ما لم يُشترط بموجب القانون المعمول به أو يُتفق عليه كتابيًا، فإن البرمجيات الموزعة بموجب الرخصة تُوزع على أساس "كما هي" (AS IS)، دون ضمانات أو شروط من أي نوع، صريحة كانت أو ضمنية. راجع الرخصة للاطلاع على اللغة المحددة التي تحكم الأذونات والقيود بموجب الرخصة.

الخلفية

يبحث هذا السكربت في النظام عن تطبيقات Java التي تحتوي على صنف Log4J المسمى JndiLookup.class وهو مصدر ثغرات Log4Shell. إذا عُثر على هذا الصنف داخل تطبيق ما، يبحث السكربت عن تحديثات Log4J التي تشير إلى أن التطبيق قد حُدّث لاستخدام Log4J 2.16+ أو Log4J 2.12.2+. إذا كان التطبيق يحتوي على JndiLookup.class لكنه لا يبدو أنه قد حُدّث، فإن التطبيق معرّض للثغرة.

لمزيد من التفاصيل، راجع:

• https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• https://nvd.nist.gov/vuln/detail/CVE-2021-45046
• https://logging.apache.org/log4j/2.x/security.html

للاطلاع على خطوات المعالجة، تواصل مع مورّد كل تطبيق متأثر.

نتائج الفحص

ستحصل كل عملية فحص على إحدى النتائج التالية:

• PASS: تم فحص جميع تطبيقات Java المكتشفة ولم يُعثر على أي تطبيقات معرّضة للثغرة.
• FAIL: عُثر على تطبيق Java واحد أو أكثر معرّض للثغرة. راجع المخرجات و JSON للاطلاع على المسارات. إذا تعذّر على السكربت فحص أي تطبيقات، فسيتم إدراجها أيضًا في المخرجات وJSON.
• UNKNOWN: لم يُكتشف أي تطبيق Java معرّض للثغرة، لكن السكربت لم يتمكن من اكتشاف جميع التطبيقات المفحوصة. راجع المخرجات وJSON للاطلاع على المسارات.
• ERROR: واجه السكربت خطأً وتعذّر عليه الإكمال. راجع المخرجات للاطلاع على التفاصيل.

إذا وجدت تطبيقات معرّضة للثغرة

للاطلاع على خطوات المعالجة، تواصل مع مورّد كل تطبيق متأثر.

تعليمات الاستخدام

نزّل أحدث إصدار من هنا: log4shell_deep_scan_0.3.zip.

Windows

ملاحظات مهمة

• يتطلب هذا السكربت .NET 4.5+
• ينبغي تشغيل هذا السكربت في سياق ذي صلاحيات (أي بصفتك مسؤولاً)
• قد يستخدم هذا السكربت ما يصل إلى وحدة معالجة مركزية واحدة ويعمل لمدة 1-20 دقيقة اعتمادًا على حجم القرص الذي يتم البحث فيه وحجم الملفات. يُرجى الاختبار لتقييم تأثير الموارد والنظر في ضبط أولوية العملية إذا لزم الأمر.

للتشغيل، افتح Command (cmd.exe) بصفتك مسؤولاً:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1

بشكل افتراضي، سيتم البحث في جميع محركات الأقراص الثابتة. حدد search_root على النحو التالي:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1 -search_root C:\START_HERE

ستُكتب النتائج في ملف داخل دليل العمل الحالي على النحو التالي:

log4shell_deep_scan.output.<hostname>.<timestamp>.json

لتحديد اسم ملف لملف الإخراج، قدّمه كمعامل على النحو التالي:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1 -output_filepath FILENAME_HERE.json

يمكن أن يستغرق هذا عدة دقائق. اضغط Ctrl-c للإلغاء.

Linux/macOS

ملاحظات مهمة

• يجب تشغيل هذا السكربت في سياق ذي صلاحيات (أي كـ root أو باستخدام sudo) حتى يتمكن من الوصول إلى النظام بأكمله.
• قد يستخدم هذا السكربت ما يصل إلى وحدة معالجة مركزية واحدة ويعمل لمدة 1-20 دقيقة اعتمادًا على حجم القرص الذي يتم البحث فيه وحجم الملفات. يُرجى الاختبار لتقييم تأثير الموارد والنظر في استخدام nice إذا لزم الأمر.

للتشغيل، افتح موجه الأوامر:

$ sudo sh log4shell_deep_scan.sh

بشكل افتراضي، سيتم البحث في جميع محركات الأقراص الثابتة. حدد search_root على النحو التالي:

$ sudo sh log4shell_deep_scan.sh /START_HERE

ستُكتب النتائج في ملف داخل دليل العمل الحالي على النحو التالي:

log4shell_deep_scan.output.<hostname>.<timestamp>.json

لتحديد اسم ملف لملف الإخراج، قدّمه كمعامل على النحو التالي:

$ sudo sh log4shell_deep_scan.sh /START_HERE FILENAME_HERE.json

يمكن أن يستغرق هذا عدة دقائق. اضغط Ctrl-c للإلغاء.

أمثلة على مخرجات JSON

PASS

سيكون لمخرجات JSON للفحوصات التي تنجح (PASS) مدخل واحد كما يلي:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:24:46.8919939-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"PASS", "vulnerable_jar":false } 
]

FAIL

سيتضمن مخرجات JSON للفحوصات التي تنتهي بحالة FAIL مدخلًا واحدًا لكل تطبيق Java مصاب تم العثور عليه على النظام كما يلي:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin\\log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin.jar!log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\log4j-core-2.12.1.jar" }
]

FAIL مع UNKNOWN

سيتضمن مخرجات JSON للفحوصات التي تنتهي بحالة FAIL وتحتوي على ملفات jar غير مفحوصة مدخلاً واحدًا لكل تطبيق Java مصاب أو غير مفحوص تم العثور عليه على النظام كما يلي:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin\\log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin.jar!log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"UNKNOWN", "unscanned_jar":"C:\\Users\\user1234\\Downloads\\log4j-3234-2.12.1.jar" }
]

سجل التغييرات

يتضمن الإصدار 0.3 الصادر في 17 ديسمبر 2021 التحسينات والحلول التالية:

• أول إصدار مفتوح المصدر
• تحديث الترخيص والتوثيق والتسمية

يتضمن الإصدار 0.2 الصادر في 17 ديسمبر 2021 التحسينات والحلول التالية:

• فحوصات لـ CVE-2021-45046 بالإضافة إلى CVE-2021-44228
• فحوصات لتصحيح فرع Log4J 2.12 (2.12.2+) بالإضافة إلى تصحيح الإصدار الحالي (2.16+)
• إضافة دعم لتنسيقات حزم Java ‏.war و.ear بالإضافة إلى .jar
• إضافة نتيجة UNKNOWN لالتقاط حزم تطبيقات Java غير القابلة للفحص
• فحص الحزم المتداخلة (jar/war/ear داخل jar/war/ear)
• إنشاء ملف سجل
• إضافة اسم المضيف إلى اسم ملف الإخراج الافتراضي
• تحسينات إضافية طفيفة للميزات وإصلاحات للأخطاء