.. image:: images/Mitiga_logo.png

Introducción

Proporcionamos a los equipos de DevOps y seguridad un script para identificar cargas de trabajo en la nube que pueden ser vulnerables a la vulnerabilidad Log4j (log4shell) en su cuenta de AWS. Actualmente admitimos las vulnerabilidades RCE "CVE-2021-44228" y "CVE-2021-45046". El script permite a los equipos de seguridad identificar activos AWS expuestos externamente ejecutando el exploit sobre ellos y, de este modo, poder mapearlos y parchearlos rápidamente.

Información General

• Información sobre CVE-2021-44228: https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• Información sobre CVE-2021-45046: https://nvd.nist.gov/vuln/detail/CVE-2021-45046
• ubicación central actualizada que describe todo lo que necesita saber sobre Log4Shell: https://www.mitiga.io/blog/log4shell-everything-in-one-place
• Desglose del algoritmo: https://www.mitiga.io/blog/log4shell-identify-vulnerable-external-facing-workloads-in-aws-tutorial

Características ########

• Escanea los recursos en todas las regiones
• Escanea todos los recursos de cómputo expuestos a internet
• Capacidad de ejecutarlo con un proxy
• Soporta múltiples formas de configurar las credenciales de AWS usando las variables de entorno conocidas de AWS: <https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-envvars.html>_

Instalación / Requisitos

• cPython 3.6 y superior

• instale los paquetes de Python requeridos: .. code-block:: console

  root@kitploit:~

    pip3 install -r requirements.txt
  

• Permisos de AWS para escanear los recursos: .. code-block:: json

  { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeSecurityGroups", "elasticloadbalancing:DescribeLoadBalancers", "elasticloadbalancing:DescribeListeners", "elasticloadbalancing:DescribeRules", "elasticloadbalancing:DescribeTargetGroupAttributes", "elasticloadbalancing:DescribeTargetGroups", ], "Resource": "*" } ] }

Antes de Ejecutar El Script ######## Necesita un servidor que espere las solicitudes DNS de los endpoints vulnerables. Para esta demo usamos: interactsh <https://github.com/projectdiscovery/interactsh>, que es una herramienta externa. Puede usar el cliente de interactsh o la aplicación web de Interactsh <https://app.interactsh.com/#/>

Ejecución

1. Obtenga la dirección URL para las solicitudes DNS. Usando 'interactsh' puede encontrarla en la aplicación cliente aquí: .. image:: images/interactshdomain.png o usando la aplicación web: .. image:: images/webinteractsh.png

2. Ejecute el script main.py con el argumento:

   • '--dest-domain' - para el servidor que recibirá la respuesta del endpoint vulnerable
   • '--cve-id' - el CVE a verificar (CVE-2021-44228, CVE-2021-45046)
   • (opcional) '--proxies' - Si ejecuta las solicitudes desde un servidor proxy ejemplos: .. code-block:: console

     Verificando el CVE más antiguo (CVE-2021-44228)

     python3 main.py --dest-domain test.interactsh.com

     Verificando con CVE-2021-45046

     python3 main.py --dest-domain test.interactsh.com --cve-id=CVE-2021-45046

     Verificando el CVE más antiguo (CVE-2021-44228), usando proxies

     python3 main.py --dest-domain test2.interactsh.com --proxies http://127.0.0.1:8080 https://127.0.0.1:8080

Encontrando Endpoints Vulnerables ######## los endpoints vulnerables deben enviar solicitudes DNS a su servidor con el formato:

• Instancias EC2: '{instance id}.{destination domain}'. ejemplo: i-092ed1f7d1230bb9a.test.interactsh.com
• Balanceadores de carga: '{load balancer name}.{destination domain}'. ejemplo: lb-name.test.interactsh.com

ejemplo de cli:

.. image:: images/interactshresult.png

ejemplo de web:

.. image:: images/webinteractsh_result.png

Aviso Legal

Este proyecto debe usarse únicamente con fines educativos. El proyecto no reemplaza un plan de remediación maduro y no proporciona una cobertura completa de los activos expuestos externamente o vulnerables. Mitiga no se hace responsable de ningún daño causado por el uso de este proyecto.