Arctic Wolf Log4Shell Deep Scan

Arctic Wolf Log4Shell Deep Scan está diseñado para detectar paquetes de aplicaciones Java afectados por CVE-2021-44228 y CVE-2021-45046.

Legal

Copyright 2021, Arctic Wolf Networks, Inc.

Arctic Wolf Networks, Inc. le otorga licencia de este archivo bajo la Licencia Apache, Versión 2.0 (la "Licencia"). No puede usar este archivo excepto en cumplimiento con la Licencia. Puede obtener una copia de la Licencia en http://www.apache.org/licenses/LICENSE-2.0.

A menos que lo exija la ley aplicable o se acuerde por escrito, el software distribuido bajo la Licencia se distribuye "TAL CUAL", SIN GARANTÍAS NI CONDICIONES DE NINGÚN TIPO, ni expresas ni implícitas. Consulte la Licencia para conocer el lenguaje específico que rige los permisos y limitaciones bajo la Licencia.

Antecedentes

Este script busca en el sistema aplicaciones Java que contengan la clase Log4J JndiLookup.class, que es el origen de las vulnerabilidades Log4Shell. Si esta clase se encuentra dentro de una aplicación, el script busca actualizaciones de Log4J que indiquen que la aplicación se ha actualizado para usar Log4J 2.16+ o Log4J 2.12.2+. Si la aplicación contiene JndiLookup.class pero no parece haber sido actualizada, la aplicación es vulnerable.

Para obtener detalles adicionales, consulte:

• https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• https://nvd.nist.gov/vuln/detail/CVE-2021-45046
• https://logging.apache.org/log4j/2.x/security.html

Para los pasos de remediación, comuníquese con el proveedor de cada aplicación afectada.

Resultados del escaneo

Cada escaneo tendrá uno de los siguientes resultados:

• PASS: todas las aplicaciones Java detectadas fueron escaneadas y no se encontraron aplicaciones vulnerables.
• FAIL: se encontraron una o más aplicaciones Java vulnerables. Consulte la salida y el JSON para las rutas. Si el script no pudo escanear ninguna aplicación, también se enumerarán en la salida y el JSON.
• UNKNOWN: no se detectaron aplicaciones Java vulnerables, pero el script no pudo detectar todas las aplicaciones escaneadas. Consulte la salida y el JSON para las rutas.
• ERROR: el script encontró un error y no pudo completarse. Consulte la salida para obtener detalles.

Si encuentra aplicaciones vulnerables

Para los pasos de remediación, comuníquese con el proveedor de cada aplicación afectada.

Instrucciones de uso

Descargue la última versión aquí: log4shell_deep_scan_0.3.zip.

Windows

Notas importantes

• Este script requiere .NET 4.5+
• Este script debe ejecutarse en un contexto privilegiado (es decir, como administrador)
• Este script puede usar hasta una sola CPU y ejecutarse durante 1-20 minutos dependiendo del tamaño del disco que se esté buscando y del volumen de archivos. Realice pruebas para evaluar el impacto en los recursos y considere establecer la prioridad del proceso si es necesario.

Para ejecutarlo, abra Command (cmd.exe) como administrador:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1

Por defecto, se buscará en todas las unidades fijas. Especifique un search_root de la siguiente manera:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1 -search_root C:\START_HERE

Los resultados se escribirán en un archivo en el directorio de trabajo actual de la siguiente manera:

log4shell_deep_scan.output.<hostname>.<timestamp>.json

Para especificar un nombre de archivo para el archivo de salida, proporciónelo como parámetro de la siguiente manera:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1 -output_filepath FILENAME_HERE.json

Esto puede tardar varios minutos. Ctrl-c para abortar.

Linux/macOS

Notas importantes

• Este script debe ejecutarse en un contexto privilegiado (es decir, como root o usando sudo) para que pueda acceder a todo el sistema.
• Este script puede usar hasta una sola CPU y ejecutarse durante 1-20 minutos dependiendo del tamaño del disco que se esté buscando y del volumen de archivos. Por favor, prueba para evaluar el impacto en los recursos y considera usar nice si es necesario.

Para ejecutar, abre el símbolo del sistema:

$ sudo sh log4shell_deep_scan.sh

Por defecto, se buscará en todas las unidades fijas. Especifique un search_root de la siguiente manera:

$ sudo sh log4shell_deep_scan.sh /START_HERE

Los resultados se escribirán en un archivo en el directorio de trabajo actual de la siguiente manera:

log4shell_deep_scan.output.<hostname>.<timestamp>.json

Para especificar un nombre de archivo para el archivo de salida, proporciónelo como parámetro de la siguiente manera:

$ sudo sh log4shell_deep_scan.sh /START_HERE FILENAME_HERE.json

Esto puede tardar varios minutos. Ctrl-c para abortar.

Ejemplos de salida JSON

PASS

La salida JSON para los escaneos que PASAN tendrá 1 entrada de la siguiente manera:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:24:46.8919939-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"PASS", "vulnerable_jar":false } 
]

FAIL

La salida JSON para los escaneos que dan como resultado FAIL tendrá 1 entrada por cada aplicación Java vulnerable encontrada en el sistema de la siguiente manera:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin\\log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin.jar!log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\log4j-core-2.12.1.jar" }
]

FAIL con UNKNOWN

La salida JSON para los escaneos que fallan y tienen jars no escaneados tendrá 1 entrada por cada aplicación Java vulnerable o no escaneada encontrada en el sistema de la siguiente manera:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin\\log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin.jar!log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"UNKNOWN", "unscanned_jar":"C:\\Users\\user1234\\Downloads\\log4j-3234-2.12.1.jar" }
]

Registro de cambios

La versión 0.3, publicada el 17 de diciembre de 2021, incluye las siguientes mejoras y resoluciones:

• Primera versión de código abierto
• Licencia, documentación y nomenclatura actualizadas

La versión 0.2, publicada el 17 de diciembre de 2021, incluye las siguientes mejoras y resoluciones: