log4j-remediation-tools

Herramientas para encontrar y reproducir la vulnerabilidad CVE-2021-44228 de log4j2

Herramientas

• find-vulnerabilities: determinar heurísticamente si una JVM en ejecución es vulnerable
• confirm-vulnerabilities: determinar con un 100% de precisión si una JVM en ejecución es vulnerable

Uso

Ambas herramientas escanean todos los procesos JVM en ejecución en una máquina y producen un informe CSV sobre qué procesos pueden ser / son vulnerables.

Consulte los README correspondientes de find-vulnerabilities/ y confirm-vulnerabilities/ para obtener detalles de uso.

¿Qué herramienta debería usar?

Aquí hay algunas compensaciones que le ayudarán a determinar qué herramienta es adecuada para su caso de uso:

find-vulnerabilities tiene bajo riesgo de ejecutarse, pero tiene la posibilidad de omitir:

• Casos en los que una propiedad del sistema no está establecida en la CLI, por ejemplo, en tiempo de ejecución
• Casos en los que la JVM ha cerrado el descriptor de archivo del jar
• Versiones no estándar / parcheadas de log4j2

confirm-vulnerabilities utiliza la API de Attach de JVM, la cual:

• Puede no funcionar si una aplicación deshabilita explícitamente esta API
• Puede bloquear la JVM en ejecución debido a errores de la JVM
• Puede ralentizar brevemente la JVM en ejecución mientras espera la pausa de la JVM

Contribuciones

Este proyecto agradece los comentarios y contribuciones; sin embargo, es posible que seamos lentos en responder o clasificar sus solicitudes. Agradecemos su paciencia.

Licencia

Este proyecto utiliza la licencia MIT.

Código de conducta

Este proyecto ha adoptado el Código de conducta de Stripe.