Lokaler Log4j2-Schwachstellen-Scanner (CVE-2021-45046)

Lokales Erkennungsskript für Log4j-Schwachstellen. Es scannt alle Java-Prozesse auf dem Host und prüft, ob eine verwundbare log4j-core-JAR-Datei eingebunden ist und ob ein Angriff zur Remote-Codeausführung (CVE-2021-45046) möglich ist. Der Scanbericht wird auf den angegebenen Server hochgeladen.

Scannt alle Java-Prozesse auf Ihrem Host, um zu prüfen, ob dieser von der Remote-Codeausführung in log4j2 (CVE-2021-45046) betroffen ist, und lädt den Bericht anschließend auf Ihren API-Server hoch.

Funktioniert unter python2.7 / 2.6 / 3.x, keine zusätzliche Bibliothek erforderlich.

Änderungsprotokoll

• 2021-12-22: Versionsprüfung für log4j-core/pom.properties hinzugefügt

Scan-Logik

1. Alle java-Prozesse auf dem Host durchlaufen
2. Die von den java-Prozessen geöffneten JAR-Dateien durchlaufen
3. Nach log4j-core-*-JAR-Dateien suchen
4. Andere JAR-Dateien rekursiv entpacken und nach log4j-core-*-JAR-Dateien suchen
5. In der log4j-core-JAR-Datei nach JndiLookup.class suchen
6. Nach dem Auffinden von JndiLookup.class anhand der Versionsnummer, der JVM-Argumente, der OS-Umgebungsvariablen sowie der Frage, ob es sich um einen Docker-Container-Prozess oder einen k8s-Prozess handelt, ausgeben, ob eine Schwachstelle vorliegt, und Upgrade-Hinweise ausgeben
7. Die Scanergebnisse auf den angegebenen Server hochladen

So funktioniert es

• Alle java-Prozesse auf dem Host finden
• Alle jar-Dateien finden, die von den java-Prozessen geöffnet werden
• Nach log4j-core-*.jar suchen
• Andere JAR-Dateien rekursiv entpacken und nach log4j-core-*.jar suchen
• In log4j-core-*.jar nach JndiLookup.class suchen
• Sobald JndiLookup.class gefunden wurde, Hinweise basierend auf Version, JVM-Argumenten, OS-Umgebungsvariablen, ob Docker-Container, ob k8s, ausgeben
• Den vollständigen Bericht auf Ihren API-Server hochladen

Stabilitätsmechanismus

• Rekursion: JAR-Dateien werden rekursiv entpackt, höchstens 5 Ebenen tief
• Speicher: Bei jedem Entpacken wird die eigene Speichernutzung geprüft, maximal 300 MB. Wird der Wert überschritten, wird der Scan übersprungen und Teilergebnisse sowie ein Speicherfehler gemeldet.
• Netzwerk: Nach dem Scan wird zufällig 0 bis 10 Sekunden gewartet. Angenommen 10.000 Hosts, dann melden sich pro Sekunde nur etwa 1.000 Server.

Stapelscan

Das Skript kann in einen Agenten integriert oder einmalig ausgeliefert und ausgeführt werden. Oder man kann sich auf dem Betriebsserver anmelden und das gesamte Netzwerk mit einem Klick scannen.

Sie können das Skript als Modul in Ihrem Agenten verwenden oder es nur einmal ausliefern und ausführen.

Wer keinen einfach zu verwendenden Agenten hat, kann den folgenden Befehl auf Ihrem OPS-Server ausführen.

cat hosts.txt|xargs -P 5 -I{} sh -c 'ssh root@{} -oStrictHostKeyChecking=no -oUserKnownHostsFile=/dev/null "wget http://your_site/to_download/log4j2_vul_scanner.py -O /tmp/log4j2_vul_scanner.py -q && python /tmp/log4j2_vul_scanner.py && /usr/bin/rm /tmp/log4j2_vul_scanner.py" > ./logs.txt||exit 0'