CVE-2021-44228_scanner (modifiziert) - Veraltet

Originales Skript und Repository: https://github.com/CERTCC/CVE-2021-44228_scanner

Modifiziert von: Alex Pena

Anwendungen, die anfällig für das log4j CVE-2021-44228-Problem sind, können möglicherweise durch Scannen von JAR-, WAR- und EAR-Dateien erkannt werden, um nach dem Vorhandensein von JndiLookup.class zu suchen.

Jede gefundene Datei ist einer Untersuchung wert, um festzustellen, ob die sie verwendende Anwendung anfällig ist. Für jedes vorhandene JndiLookup.class enthält log4j üblicherweise die Version im JAR-Dateinamen. Ein Treffer auf log4j-core-2.14.1.jar würde beispielsweise auf eine anfällige Anwendung hinweisen. Alternativ könnte auch log4j-core-2.16.jar einen Treffer erzeugen, da der JndiLookup-Code in der 2.16-Version von log4j noch vorhanden, aber standardmäßig deaktiviert ist. Weitere Informationen finden Sie unter VU#930724.

Parameter

-Force      Scannen von System- und versteckten Dateien erlauben (Der -Force-Parameter überschreibt keine Sicherheitseinschränkungen)
-Verbose    Zusätzliche Scanausgabe und Nachrichten

Aktuelles Verzeichnis scannen

.\checkjndi.ps1

Verzeichnis test_folder scannen, mit zusätzlicher Ausgabe und Scannen von System-/versteckten Dateien

.\checkjndi.ps1 -Force -Verbose c:\Users\alex\Desktop\test_folder

Screenshots

Beispiel: Ein Aufruf der PowerShell-Version des Scanners:

Zu scannende Pfade können an das Skript weitergeleitet werden, um die Kontrolle darüber zu haben, was überprüft wird. Beispiel: Zum Scannen einer Liste von Pfaden, die in der Datei paths.txt enthalten sind:

get-content .\paths.txt | .\checkjndi.ps1

Ergebnisse interpretieren

Betrachten wir den ersten Treffer unserer Windows-Scan-Ausführung:

C:\Users\unst0\Desktop\test_folder\apache-log4j-2.17.1-bin.zip contains apache-log4j-2.17.1-bin/log4j-core-2.17.1.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class ** BUT APPEARS TO BE PATCHED **

Diese JAR-Datei enthält eine 2.17-Version von log4j, die nicht anfällig für CVE-2021-44228 ist. Dieses Ergebnis wird zu Informationszwecken gemeldet und zeigt, dass ein Anbieter sein Produkt gepatcht hat.

Betrachten wir den zweiten Treffer:

WARNING: C:\Users\unst0\Desktop\test_folder\ghidra_10.0.4_PUBLIC_20210928.zip contains ghidra_10.0.4_PUBLIC/Ghidra/Framework/Generic/lib/log4j-core-2.12.1.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class

Hier sehen wir, dass Ghidra log4j Version 2.12.1 verwendet, und daher sollten wir davon ausgehen, dass es anfällig ist. Und tatsächlich sind Ghidra-Versionen vor 10.1 anfällig für CVE-2021-44228.

Betrachten wir den dritten Treffer:

WARNING: C:\Users\unst0\Desktop\test_folder\server.jar contains META-INF/libraries/org/apache/logging/log4j/log4j-core/2.14.1/log4j-core-2.14.1.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class

Hier sehen wir, dass die Minecraft server.jar-Datei log4j Version 2.14.1 verwendet, und daher sollten wir davon ausgehen, dass sie anfällig ist. Und tatsächlich sind Minecraft: Java Edition Server-Versionen vor 1.18.1 anfällig für CVE-2021-44228.

Sie sollten alle von einem dieser Skripte gemeldeten Treffer untersuchen und bestätigen, dass entweder die log4j-Version tatsächlich die reparierte Version 2.16 ist, oder sich an Ihren Softwareanbieter wenden, um eine reparierte Version der Software zu erhalten. Alternativ finden Sie unter VU#930724 Informationen dazu, wie JndiLookup.class aus anfälligen JAR-Dateien entfernt werden kann.

Zurückgegebene Fehler

Die PowerShell-Version des Scanners verfügt über eine zusätzliche Fehlerberichterstattung, wenn Dateien oder Verzeichnisse nicht untersucht werden können. Insbesondere deuten Unable to scan-Fehler, die UnauthorizedAccessException melden, auf ein Berechtigungsproblem beim Zugriff auf ein Verzeichnis und/oder eine Datei hin. Unable to scan-Fehler, die InvalidDataException melden, sind in der Regel auf ein beschädigtes Archiv zurückzuführen.