Ansible-Rolle zur Entschärfung von Log4Shell CVE-2021-44228

Diese Ansible-Rolle stellt ein Python-basiertes Skript bereit, um die Log4Shell-Schwachstelle (CVE-2021-44228) programmatisch zu entschärfen, indem die verwundbare JndiLookup-Klasse aus betroffenen Log4j-JAR-Dateien entfernt wird.

Sie ist dafür ausgelegt, über Ansible ausgeführt zu werden, aber Sie können das Skript bei Bedarf auch manuell ausführen.

Weitere Informationen zur Log4Shell-Schwachstelle finden Sie hier:

• Wikipedia
• NVD CVE-2021-44228
• Unser Twitter-Thread

Funktionen

• Durchsucht angegebene Anwendungsverzeichnisse nach Log4j-JAR-Dateien
• Prüft, ob JndiLookup.class vorhanden ist
• Sichert die Original-JAR-Datei vor der Änderung
• Entfernt JndiLookup.class aus der JAR-Datei
• Schreibt alle Aktionen in eine Protokolldatei
• Über eine YAML-Datei konfigurierbar
• Als Ansible-Rolle verpackt für die automatisierte Bereitstellung auf mehreren Systemen

Voraussetzungen

• Python 3.6+
• zip und zipinfo auf den Zielsystemen installiert
• PyYAML auf den Zielsystemen installiert (pip install pyyaml)

Konfiguration

Das Skript wird über eine YAML-Datei konfiguriert, die von der Rolle automatisch als Vorlage erstellt wird.

Beispiel config.yaml:

app_directories:
  - /opt/apps
backup_directory: /opt/backups
log_file: /var/log/log4j_mitigation.log

• app_directories: Liste der Verzeichnisse, die nach JAR-Dateien durchsucht werden sollen
• backup_directory: Speicherort für die Sicherungskopien der Original-JAR-Dateien
• log_file: Pfad zu einer Protokolldatei zur Verfolgung der Vorgänge

Verwendung als Ansible-Rolle

Fügen Sie diese Rolle Ihrem Playbook hinzu:

- name: Mitigate Log4Shell CVE-2021-44228
  hosts: all
  become: true
  roles:
    - log4shell_mitigation

Direkte Verwendung

Wenn Sie das Skript manuell ausführen möchten, können Sie das tun:

1. Kopieren Sie das Skript auf Ihre Zielmaschine:

   root@kitploit:~

   files/log4shell_mitigator.py
   

2. Erstellen Sie Ihre eigene config.yaml im selben Verzeichnis.

3. Führen Sie es aus:

   root@kitploit:~

   python3 log4shell_mitigator.py
   

Validierung

• Prüfen Sie die konfigurierte Protokolldatei (Standard: /var/log/log4j_mitigation.log), um zu sehen, welche JAR-Dateien gepatcht wurden
• Vergewissern Sie sich, dass Ihre Anwendungen nach dem Entfernen der Klasse weiterhin korrekt starten
• Testen Sie idealerweise in einer Staging-Umgebung, bevor Sie in der Produktion ausrollen

Hinweise

• Dieser Ansatz aktualisiert Log4j nicht, sondern entfernt die verwundbare Klasse, um den Exploit-Pfad zu blockieren
• Sie sollten Log4j dennoch als langfristige Lösung aktualisieren
• Testen Sie immer gründlich, bevor Sie eine breite Ausrollung vornehmen

Lizenz

MIT

Mitwirken

PRs und Verbesserungen sind willkommen -> bitte forken Sie das Repository und reichen Sie einen Merge-Request ein.

Haftungsausschluss

Diese Software und die begleitende Ansible-Rolle werden „wie besehen“ und ohne jegliche Gewährleistung, weder ausdrücklich noch stillschweigend, bereitgestellt. Sie sind allein dafür verantwortlich, die Eignung, Sicherheit und Wirksamkeit dieses Codes zu bewerten und zu testen, bevor Sie ihn in einer Umgebung einsetzen. AxisOps Ltd (GB08681761) lehnt ausdrücklich jede Haftung für Schäden, Datenverlust, Dienstunterbrechungen oder sonstige Beeinträchtigungen ab, die aus der Verwendung oder dem Missbrauch dieses Codes entstehen.

Nutzung auf eigene Gefahr. Prüfen, testen und validieren Sie den Code immer in einer kontrollierten Umgebung, bevor Sie ihn in der Produktion einsetzen.

SysOps-Team @ AxisOps