Log4Shell CVE-2021-44228 शमन Ansible Role

यह Ansible Role प्रभावित Log4j JAR फ़ाइलों से कमजोर JndiLookup क्लास को हटाकर Log4Shell भेद्यता (CVE-2021-44228) को प्रोग्रामेटिक रूप से कम करने के लिए एक Python-आधारित स्क्रिप्ट तैनात करता है।

इसे Ansible के माध्यम से चलाने के लिए डिज़ाइन किया गया है, लेकिन यदि आप चाहें तो स्क्रिप्ट को मैन्युअल रूप से भी चला सकते हैं।

Log4Shell भेद्यता के बारे में यहाँ और पढ़ें:

• Wikipedia
• NVD CVE-2021-44228
• हमारा Twitter Thread

विशेषताएँ

• निर्दिष्ट एप्लिकेशन निर्देशिकाओं में Log4j JAR खोजता है
• जाँचता है कि क्या JndiLookup.class मौजूद है
• संशोधन से पहले मूल JAR का बैकअप लेता है
• JAR से JndiLookup.class हटाता है
• सभी क्रियाओं को एक लॉग फ़ाइल में लिखता है
• YAML फ़ाइल के माध्यम से कॉन्फ़िगर करने योग्य
• कई सिस्टमों पर स्वचालित परिनियोजन के लिए Ansible Role के रूप में पैकेज किया गया है

आवश्यकताएँ

• Python 3.6+
• लक्ष्य सिस्टम पर zip और zipinfo स्थापित होना चाहिए
• लक्ष्य सिस्टम पर PyYAML स्थापित होना चाहिए (pip install pyyaml)

कॉन्फ़िगरेशन

स्क्रिप्ट को YAML फ़ाइल के माध्यम से कॉन्फ़िगर किया जाता है, जिसे Role द्वारा स्वचालित रूप से टेम्पलेट किया जाता है।

Example config.yaml:

app_directories:
  - /opt/apps
backup_directory: /opt/backups
log_file: /var/log/log4j_mitigation.log

• app_directories: JAR फ़ाइलों को स्कैन करने के लिए निर्देशिकाओं की सूची
• backup_directory: मूल JAR बैकअप संग्रहीत करने का स्थान
• log_file: संचालन ट्रैकिंग के लिए लॉग फ़ाइल का पथ

Ansible Role के रूप में उपयोग

इस Role को अपने playbook में जोड़ें:

- name: Mitigate Log4Shell CVE-2021-44228
  hosts: all
  become: true
  roles:
    - log4shell_mitigation

सीधा उपयोग

यदि आप स्क्रिप्ट को मैन्युअल रूप से चलाना चाहते हैं, तो आप ऐसा कर सकते हैं:

1. स्क्रिप्ट को अपनी लक्ष्य मशीन पर कॉपी करें:

   root@kitploit:~

   files/log4shell_mitigator.py
   

2. उसी निर्देशिका में अपनी खुद की config.yaml बनाएँ।

3. इसे चलाएँ:

   root@kitploit:~

   python3 log4shell_mitigator.py
   

सत्यापन

• कौन से JAR पैच किए गए, यह देखने के लिए कॉन्फ़िगर की गई लॉग फ़ाइल (डिफ़ॉल्ट: /var/log/log4j_mitigation.log) जाँचें
• क्लास हटाने के बाद अपने एप्लिकेशन सही ढंग से प्रारंभ होते हैं, इसकी पुष्टि करें
• आदर्श रूप से, प्रोडक्शन रोलआउट से पहले स्टेजिंग वातावरण में परीक्षण करें

नोट्स

• यह दृष्टिकोण Log4j को अपग्रेड नहीं करता, बल्कि एक्सप्लॉइट पथ को अवरुद्ध करने के लिए कमजोर क्लास को हटाता है
• दीर्घकालिक समाधान के लिए आपको अभी भी Log4j को अपग्रेड करना चाहिए
• व्यापक रूप से रोलआउट करने से पहले हमेशा गहन परीक्षण करें

लाइसेंस

MIT

योगदान

PR और सुधारों का स्वागत है -> कृपया fork करें और मर्ज अनुरोध सबमिट करें।

अस्वीकरण

यह सॉफ़्टवेयर और साथ में दिया गया Ansible Role “जैसा है” प्रदान किया जाता है और किसी भी प्रकार की वारंटी, स्पष्ट या निहित, के बिना। किसी भी वातावरण में लागू करने से पहले इस कोड की उपयुक्तता, सुरक्षा और प्रभावशीलता का मूल्यांकन और परीक्षण करने की पूरी जिम्मेदारी आप पर है। AxisOps Ltd (GB08681761) इस कोड के उपयोग या दुरुपयोग के परिणामस्वरूप होने वाली क्षति, डेटा हानि, सेवा व्यवधान या अन्य हानि के लिए किसी भी दायित्व को स्पष्ट रूप से अस्वीकार करता है।

अपने जोखिम पर उपयोग करें। प्रोडक्शन में परिनियोजन से पहले हमेशा नियंत्रित वातावरण में कोड का ऑडिट, परीक्षण और सत्यापन करें।

SysOps Team @ AxisOps