log4j-remediation-tools

Outils pour trouver et reproduire la vulnérabilité CVE-2021-44228 de log4j2

Outils

• find-vulnerabilities : déterminer heuristiquement si une JVM en cours d'exécution est vulnérable
• confirm-vulnerabilities : déterminer avec 100% de précision si une JVM en cours d'exécution est vulnérable

Utilisation

Ces deux outils analysent tous les processus JVM en cours d'exécution sur une machine et produisent un rapport CSV indiquant quels processus sont peut-être / sont vulnérables.

Consultez les README correspondants pour find-vulnerabilities/ et confirm-vulnerabilities/ pour les détails d'utilisation.

Quel outil devrais-je utiliser ?

Voici quelques compromis pour vous aider à déterminer quel outil convient à votre cas d'utilisation :

find-vulnerabilities présente un faible risque d'exécution, mais peut omettre :

• Les cas où une propriété système n'est pas définie en ligne de commande, par exemple à l'exécution
• Les cas où la JVM a fermé le descripteur de fichier pour le jar
• Les versions non standard / corrigées de log4j2

confirm-vulnerabilities utilise l'API JVM Attach qui :

• Peut ne pas fonctionner si une application désactive explicitement cette API
• Peut planter la JVM en cours d'exécution en raison de bugs de la JVM
• Peut brièvement ralentir la JVM en cours d'exécution en attendant la pause de la JVM

Contribution

Ce projet accueille favorablement les retours et contributions ; cependant, nous pourrions être lents à répondre ou à traiter vos demandes. Nous apprécions votre patience.

Licence

Ce projet utilise la licence MIT.

Code de conduite

Ce projet a adopté le Code de conduite de Stripe.