log4j-vuln-demo

Image de démonstration volontairement vulnérable pour les tests de scan et de remédiation Sysdig CNAPP.

Contient Log4j 2.14.1 — vulnérable à CVE-2021-44228 (Log4Shell, CVSS 10.0 Critique).

Objectif

Ce dépôt existe pour démontrer le workflow CNAPP de bout en bout de Sysdig :

1. /sysdig-investigate — met en évidence l'image vulnérable et la classe pour la remédiation
2. /sysdig-remediate — détermine une version de correctif sûre (2.15.0+) et ouvre une PR

Correctif

Remontez log4j-core et log4j-api vers 2.17.1 ou une version ultérieure dans pom.xml.

Image

Utilisez un numéro de version approprié afin de pouvoir ensuite le passer à 1.0.1 ou autre

ghcr.io/aaronm-sysdig/log4j-vuln-demo:1.0.0