log4j-remediation-tools

Werkzeuge zum Auffinden und Reproduzieren der CVE-2021-44228 log4j2-Sicherheitslücke

Werkzeuge

• find-vulnerabilities: heuristisch bestimmen, ob eine laufende JVM verwundbar ist
• confirm-vulnerabilities: mit 100%iger Genauigkeit bestimmen, ob eine laufende JVM verwundbar ist

Verwendung

Beide Werkzeuge scannen alle laufenden JVM-Prozesse auf einem Rechner und erstellen einen CSV-Bericht darüber, welche Prozesse möglicherweise / tatsächlich verwundbar sind.

Weitere Einzelheiten zur Verwendung findest du in den entsprechenden READMEs für find-vulnerabilities/ und confirm-vulnerabilities/.

Welches Werkzeug sollte ich verwenden?

Hier sind ein paar Abwägungen, die dir helfen zu entscheiden, welches Werkzeug für deinen Anwendungsfall das richtige ist:

find-vulnerabilities ist mit geringem Risiko auszuführen, kann aber Folgendes übersehen:

• Fälle, in denen eine Systemeigenschaft nicht auf der CLI gesetzt ist, z. B. zur Laufzeit
• Fälle, in denen die JVM den Dateideskriptor für die JAR-Datei geschlossen hat
• Nicht standardmäßige / gepatchte Versionen von log4j2

confirm-vulnerabilities verwendet die JVM-Attach-API, die:

• möglicherweise nicht funktioniert, wenn eine Anwendung diese API explizit deaktiviert
• aufgrund von JVM-Fehlern die laufende JVM zum Absturz bringen kann
• die laufende JVM kurzzeitig verlangsamen kann, während auf eine JVM-Pause gewartet wird

Mitwirken

Dieses Projekt begrüßt Feedback und Beiträge; wir reagieren jedoch möglicherweise langsam auf deine Anfragen oder bearbeiten sie nur verzögert. Wir danken dir für deine Geduld.

Lizenz

Dieses Projekt verwendet die MIT-Lizenz.

Verhaltenskodex

Dieses Projekt hat den Verhaltenskodex von Stripe übernommen.