Escáner Local de Vulnerabilidad Log4j2 (CVE-2021-45046)

Script de detección local de vulnerabilidades Log4j, escanea todos los procesos java del host, comprueba si se ha introducido el jar log4j-core vulnerable, y si es posible sufrir un ataque de ejecución remota de código (CVE-2021-45046). Sube el informe de escaneo al servidor especificado.

Escanea todos los procesos java de su máquina para comprobar si están afectados por la ejecución remota de código de log4j2 (CVE-2021-45046) y luego sube el informe a su servidor API.

Funciona con python2.7 / 2.6 / 3.x, sin necesidad de librerías adicionales.

Registro de Cambios

• 2021-12-22 Añadida detección de versión de log4j-core/pom.properties

Lógica de Escaneo

1. Recorrer los procesos java del host
2. Recorrer los jars abiertos por el proceso java
3. Buscar el jar log4j-core-*
4. Descomprimir recursivamente otros jars, buscando el jar log4j-core-*
5. Dentro del jar log4j-core, buscar JndiLookup.class
6. Una vez encontrado JndiLookup.class, según su número de versión, parámetros jvm, variables de entorno del SO, si es un proceso de contenedor docker, proceso k8s, determinar si existe vulnerabilidad y mostrar sugerencias de actualización
7. Subir los resultados del escaneo al servidor especificado

Cómo Funciona

• Encontrar todos los procesos java del host
• Encontrar todos los archivos jar abiertos por el proceso java
• Buscar log4j-core-*.jar
• Descomprimir recursivamente otros archivos jar, buscando log4j-core-*.jar
• Buscar JndiLookup.class en log4j-core-*.jar
• Una vez encontrado JndiLookup.class, mostrar sugerencias según su versión, argumentos jvm, argumentos de entorno del SO, si es contenedor docker, si es k8s
• Subir el informe completo a su servidor API

Mecanismos de Estabilidad

• Recursividad: descompresión recursiva de jars, máximo 5 niveles
• Memoria: en cada descompresión se comprueba el uso de memoria propia, máximo 300 MB. Si se supera, se omite el escaneo y se reporta un resultado parcial junto con un error de memoria
• Red: al finalizar el escaneo, se duerme aleatoriamente entre 0 y 10 segundos. Suponiendo 10,000 hosts, solo aproximadamente 1,000 informarán por segundo al servidor.

Escaneo Masivo

Se puede integrar en un agente, o distribuir este script de escaneo para una ejecución única. También se puede iniciar sesión en un servidor de operaciones y realizar un escaneo de toda la red con un solo clic.

Puede usar el script como módulo mediante su agente, o entregarlo y ejecutarlo una sola vez.

Quienes no tengan un agente fácil de usar pueden ejecutar el siguiente comando en su servidor de operaciones.

cat hosts.txt|xargs -P 5 -I{} sh -c 'ssh root@{} -oStrictHostKeyChecking=no -oUserKnownHostsFile=/dev/null "wget http://your_site/to_download/log4j2_vul_scanner.py -O /tmp/log4j2_vul_scanner.py -q && python /tmp/log4j2_vul_scanner.py && /usr/bin/rm /tmp/log4j2_vul_scanner.py" > ./logs.txt||exit 0'