CVE-2021-44228_scanner

Les applications vulnérables au problème CVE-2021-44228 de log4j peuvent être détectables en scannant les fichiers jar, war et ear pour rechercher la présence de JndiLookup.class.

Selon la plateforme que vous examinez, le script PowerShell ou Python3 peut être plus approprié à exécuter. Dans les deux cas, l'argument optionnel est le répertoire racine que vous souhaitez utiliser pour commencer votre recherche.

Tout fichier découvert mérite une enquête pour déterminer si l'application qui l'utilise est vulnérable. Pour tout JndiLookup.class présent, log4j inclut généralement la version dans le nom du fichier jar. Par exemple, une correspondance sur log4j-core-2.14.1.jar indiquerait une application vulnérable. Alternativement, log4j-core-2.16.jar peut également produire une correspondance car le code JndiLookup est toujours présent dans la version 2.16 de log4j, mais il est désactivé par défaut. Voir VU#930724 pour plus de détails.

Captures d'écran

Par exemple, voici une invocation de la version PowerShell du scanner :

De même, voici une invocation de la version Python3 :

Enfin, voici une invocation de la version Bash :

Interprétation des résultats

Notez que les versions Bash et Python de ce script limiteront par conception les analyses à un seul système de fichiers. Avec la version PowerShell, les emplacements à analyser peuvent être redirigés (piped) vers le script pour contrôler ce qui est vérifié. Par exemple, pour analyser une liste de chemins contenus dans un fichier paths.txt :

get-content .\paths.txt | .\checkjndi.ps1

Regardons la première correspondance lors de notre exécution de scan sur Windows :

WARNING: C:\tmp\2.15\log4j-core-2.15.0.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class

D'après le nom du jar, il s'agit d'une bibliothèque de log4j 2.15. Bien que cette version de log4j corrige CVE-2021-44228, elle contenait toujours une faille décrite comme CVE-2021-45046. L'impact de CVE-2021-45046 est un déni de service pour seulement certaines applications Java qui utilisent log4j 2.15. Pour les applications Java qui utilisent des versions de log4j antérieures à 2.15 et qui remplissent également les conditions préalables à l'application de CVE-2021-45046, l'impact est une exécution de code à distance (RCE).

Regardons la deuxième correspondance :

C:\tmp\2.16\log4j-core-2.16.0.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class ** BUT APPEARS TO BE PATCHED **

Ce fichier jar contient une version 2.16 de log4j, qui n'est pas vulnérable à CVE-2021-44228. Ce résultat est rapporté à titre informatif, ce qui montre qu'un vendeur a corrigé son produit.

Regardons la troisième correspondance :

WARNING: C:\tmp\ghidra_10.0_PUBLIC\Ghidra\Framework\Generic\lib\log4j-core-2.12.1.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class

Ici nous pouvons voir que Ghidra utilise log4j version 2.12.1, et par conséquent nous devons supposer qu'il est vulnérable. Et effectivement, les versions de Ghidra antérieures à 10.1 sont vulnérables à CVE-2021-44228.

Vous devriez enquêter sur toute correspondance signalée par l'un ou l'autre de ces scripts, et confirmer soit que la version de log4j est bien la version 2.16 corrigée, soit contacter votre éditeur de logiciel pour obtenir une version corrigée du logiciel. Alternativement, VU#930724 contient des informations sur la façon dont JndiLookup.class peut être supprimé des fichiers jar vulnérables.

Erreurs retournées

La version PowerShell du scanner dispose d'un rapport d'erreur supplémentaire lorsque des fichiers ou des répertoires ne peuvent pas être examinés. En particulier, toute erreur Unable to scan signalant UnauthorizedAccessException indique un problème de permission pour accéder à un répertoire et/ou un fichier. Toute erreur Unable to scan signalant InvalidDataException est généralement due à une archive corrompue.