Fixture d'impact direct Log4Shell

Entrée Java/Maven délibérément vulnérable et non déployable pour ShieldOps. Ne pas la compiler, l'exécuter ni la déployer.

Le projet épingle org.apache.logging.log4j:log4j-core:2.14.1. LoginAuditService.recordLoginAttempt envoie une valeur HTTP User-Agent non authentifiée dans un paramètre de message Log4j. C'est la condition de message contrôlé par l'attaquant décrite pour CVE-2021-44228.

Constats attendus :

applicabilité du paquet : affecté ;
impact sur le code : LoginAuditService.java doit être classé comme impacté, et non simplement comme un import ;
gravité : critique (score NVD CVSS 3.1 de 10.0) ;
remédiation durable : mettre à jour Log4j et reconstruire/redéployer l'artefact ;
alternative source/contrôle : supprimer la valeur contrôlée par l'attaquant du chemin de journalisation vulnérable ;
atténuation temporaire par configuration : uniquement lorsque la combinaison exacte Log4j/JVM prend en charge le contrôle documenté, avec un risque résiduel et un suivi de mise à niveau ;
conseils de déploiement : conseils conditionnels distincts pour les conteneurs, Kubernetes et les hôtes bare-metal, incluant la validation SELinux plutôt qu'un conseil de désactiver l'application des règles.

Importer depuis la racine du dépôt ShieldOps :

uv run shieldops create-case "Log4Shell direct impact demo"
uv run shieldops intake --case <case-id> --input hack/log4shell-direct-impact/intake.json
uv run shieldops cases
uv run shieldops investigate --case <case-id> \
  --finding 'CVE-2021-44228:maven:org.apache.logging.log4j:log4j-core:2.14.1'

Enregistrements faisant autorité :

Populaires

log4shell-CVE-2021-44228