.. image:: images/Mitiga_logo.png

Einleitung

Wir stellen DevOps- und Sicherheitsteams ein Skript zur Verfügung, um Cloud-Workloads zu identifizieren, die möglicherweise anfällig für die Log4j-Sicherheitslücke (Log4Shell) in ihrem AWS-Konto sind. Wir unterstützen derzeit die RCE-Sicherheitslücken "CVE-2021-44228" und "CVE-2021-45046". Das Skript ermöglicht es Sicherheitsteams, extern zugängliche AWS-Ressourcen zu identifizieren, indem der Exploit auf ihnen ausgeführt wird, und sie so zu kartieren und schnell zu patchen.

Allgemeine Informationen

• Informationen zu CVE-2021-44228: https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• Informationen zu CVE-2021-45046: https://nvd.nist.gov/vuln/detail/CVE-2021-45046
• Zentrale, aktualisierte Informationsquelle zu Log4Shell: https://www.mitiga.io/blog/log4shell-everything-in-one-place
• Algorithmus-Detailleitfaden: https://www.mitiga.io/blog/log4shell-identify-vulnerable-external-facing-workloads-in-aws-tutorial

Funktionen ########

• Scannt die Ressourcen in allen Regionen
• Scannt alle extern zugänglichen Compute-Ressourcen
• Möglichkeit der Ausführung über einen Proxy
• Unterstützt mehrere Konfigurationsmöglichkeiten der AWS-Anmeldeinformationen mithilfe der bekannten AWS-Umgebungsvariablen: <https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-envvars.html>_

Installation / Anforderungen

• cPython 3.6 und höher

• Installieren der erforderlichen Python-Pakete: .. code-block:: console

  root@kitploit:~

    pip3 install -r requirements.txt
  

• AWS-Berechtigungen zum Scannen der Ressourcen: .. code-block:: json

  { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeSecurityGroups", "elasticloadbalancing:DescribeLoadBalancers", "elasticloadbalancing:DescribeListeners", "elasticloadbalancing:DescribeRules", "elasticloadbalancing:DescribeTargetGroupAttributes", "elasticloadbalancing:DescribeTargetGroups", ], "Resource": "*" } ] }

Vor der Ausführung des Skripts ######## Sie benötigen einen Server, der auf DNS-Anfragen von den anfälligen Endpunkten wartet. Für diese Demo verwenden wir: interactsh <https://github.com/projectdiscovery/interactsh>, ein externes Tool. Sie können den Interactsh-Client oder die Interactsh-Web-App <https://app.interactsh.com/#/> verwenden.

Ausführung

1. Holen Sie sich die URL-Adresse für die DNS-Anfragen. Mit 'interactsh' finden Sie diese in der Client-App hier: .. image:: images/interactshdomain.png oder mit der Web-App: .. image:: images/webinteractsh.png

2. Führen Sie das Skript main.py mit den folgenden Argumenten aus:

   • '--dest-domain' - für den Server, der die Antwort vom anfälligen Endpunkt erhält
   • '--cve-id' - die zu prüfende CVE (CVE-2021-44228, CVE-2021-45046)
   • (optional) '--proxies' - Wenn Sie die Anfragen über einen Proxy-Server ausführen Beispiele: .. code-block:: console

     Prüfen der älteren CVE (CVE-2021-44228)

     python3 main.py --dest-domain test.interactsh.com

     Prüfen mit CVE-2021-45046

     python3 main.py --dest-domain test.interactsh.com --cve-id=CVE-2021-45046

     Prüfen der älteren CVE (CVE-2021-44228) mit Proxy

     python3 main.py --dest-domain test2.interactsh.com --proxies http://127.0.0.1:8080 https://127.0.0.1:8080

Anfällige Endpunkte finden ######## Die anfälligen Endpunkte sollten DNS-Anfragen an Ihren Server mit folgendem Format senden:

• EC2-Instanzen: '{instance id}.{destination domain}'. Beispiel: i-092ed1f7d1230bb9a.test.interactsh.com
• Load Balancer: '{load balancer name}.{destination domain}'. Beispiel: lb-name.test.interactsh.com

CLI-Beispiel:

.. image:: images/interactshresult.png

Web-Beispiel:

.. image:: images/webinteractsh_result.png

Haftungsausschluss

Dieses Projekt sollte nur zu Bildungszwecken verwendet werden. Das Projekt ersetzt keinen ausgereiften Behebungsplan und bietet keine vollständige Abdeckung für extern zugängliche oder anfällige Ressourcen. Mitiga übernimmt keine Verantwortung für Schäden, die durch die Nutzung dieses Projekts entstehen.