Rol de Ansible para Mitigación de Log4Shell CVE-2021-44228

Este rol de Ansible despliega un script basado en Python para mitigar programáticamente la vulnerabilidad Log4Shell (CVE-2021-44228) eliminando la clase vulnerable JndiLookup de los archivos JAR de Log4j afectados.

Está diseñado para ejecutarse mediante Ansible, pero también puedes ejecutar el script manualmente si lo deseas.

Lea más sobre la vulnerabilidad Log4Shell aquí:

• Wikipedia
• NVD CVE-2021-44228
• Nuestro hilo de Twitter

Características

• Busca archivos JAR de Log4j en directorios de aplicaciones especificados
• Verifica si JndiLookup.class está presente
• Realiza una copia de seguridad del JAR original antes de la modificación
• Elimina JndiLookup.class del JAR
• Registra todas las acciones en un archivo de log
• Configurable mediante un archivo YAML
• Empaquetado como un rol de Ansible para despliegue automatizado en múltiples sistemas

Requisitos

• Python 3.6+
• zip y zipinfo instalados en los sistemas de destino
• PyYAML instalado en los sistemas de destino (pip install pyyaml)

Configuración

El script se configura mediante un archivo YAML, generado automáticamente por el rol.

Ejemplo config.yaml:

app_directories:
  - /opt/apps
backup_directory: /opt/backups
log_file: /var/log/log4j_mitigation.log

• app_directories: lista de directorios para escanear archivos JAR
• backup_directory: directorio donde almacenar las copias de seguridad de los JAR originales
• log_file: ruta a un archivo de log para el seguimiento de operaciones

Uso como Rol de Ansible

Añade este rol a tu playbook:

- name: Mitigate Log4Shell CVE-2021-44228
  hosts: all
  become: true
  roles:
    - log4shell_mitigation

Uso Directo

Si deseas ejecutar el script manualmente, puedes hacerlo:

1. Copia el script a tu máquina de destino:

   root@kitploit:~

   files/log4shell_mitigator.py
   

2. Crea tu propio config.yaml en el mismo directorio.

3. Ejecútalo:

   root@kitploit:~

   python3 log4shell_mitigator.py
   

Validación

• Revisa el archivo de log configurado (por defecto: /var/log/log4j_mitigation.log) para ver qué JARs fueron parcheados
• Confirma que tus aplicaciones aún se inician correctamente después de la eliminación de la clase
• Idealmente, prueba en un entorno de staging antes del despliegue en producción

Notas

• Este enfoque no actualiza Log4j, sino que elimina la clase vulnerable para bloquear la ruta de explotación
• Aún debes actualizar Log4j como solución a largo plazo
• Siempre prueba minuciosamente antes de un despliegue amplio

Licencia

MIT

Contribuciones

Se aceptan PRs y mejoras -> por favor, haz un fork y envía una solicitud de merge.

Descargo de responsabilidad

Este software y el rol de Ansible que lo acompaña se proporcionan “tal cual” y sin garantías de ningún tipo, expresas o implícitas. Usted es el único responsable de evaluar y probar la idoneidad, seguridad y eficacia de este código antes de aplicarlo a cualquier entorno. AxisOps Ltd (GB08681761) rechaza expresamente cualquier responsabilidad por daños, pérdida de datos, interrupción del servicio u otros perjuicios derivados del uso o mal uso de este código.

Úselo bajo su propio riesgo. Siempre audite, pruebe y valide el código en un entorno controlado antes del despliegue en producción.

Equipo SysOps de AxisOps