Log4Shell Sentinel - एक स्मार्ट CVE-2021-44228 स्कैनर

परिचय

हालांकि संगठनों को क्रिटिकल Log4J / CVE-2021-44228 भेद्यता के प्रति संवेदनशील अनुप्रयोगों के लिए अपने वातावरण को स्कैन करने में मदद करने के लिए कुछ उत्कृष्ट उपकरण जारी किए गए हैं, मुझे लगा कि:

• मेरे द्वारा देखे गए उपकरणों में से कोई भी विश्लेषकों को किसी दिए गए खोज को संशोधन प्रक्रिया के दौरान ट्रैक करने के लिए नहीं बनाया गया था। Log4Shell Sentinel अपने निष्कर्षों को CSV प्रारूप में आउटपुट करता है, इस उम्मीद में कि एक विश्लेषक फिर Excel में निष्कर्षों को काट-छाँट करेगा, कुछ निष्कर्षों को एक अनदेखी सूची में जोड़ेगा और पुनः स्कैन चलाएगा, स्कैन की तुलना करेगा, स्कैन परिणामों में डेटा जोड़ेगा, आदि।
• फ़ाइल-आधारित स्कैनर विश्लेषकों के लिए बहुत सारा काम छोड़ देते हैं, विशेष रूप से कंटेनरीकृत वातावरण में

इसलिए Log4Shell Sentinel का जन्म हुआ। Log4Shell Sentinel एक फ़ाइल-आधारित स्कैनर है जिसमें कुछ अनूठी विशेषताएँ हैं। इसका उद्देश्य अन्य सभी उपलब्ध उपकरणों को बदलना नहीं है, बल्कि उनकी पूर्ति कर सकता है।

विशेषताएँ

Log4Shell Sentinel एक फ़ाइल-आधारित स्कैनर है। यह लक्ष्य प्रणाली को निम्नलिखित फ़ाइल स्वरूपों की कलाकृतियों के लिए स्कैन करके Java-आधारित अनुप्रयोगों की खोज करता है:

और कमजोर log4j-core jars के उदाहरणों की खोज करता है। फिर यह:

• कलाकृति का MD5 हैश की गणना करता है। यह एक विश्लेषक को विभिन्न मशीनों/कंटेनरों पर चलने वाले समान एप्लिकेशन की पहचान करने और उन्हें एकल खोज के रूप में मानने की अनुमति देता है।

• उन फ़ाइलों के लिए जो कंटेनर से संबंधित होने का निर्धारण किया जाता है, जैसे: /var/lib/docker/overlay2/192768f471818601094bf4edd96d14bfc0e2b178a04a2efd00b2231ad4e46b33/merged/app/spring-boot-application.jar, यह फ़ाइल को संबंधित इमेज से मैप करने का भारी काम करता है। उदाहरण के लिए, यह ऊपर दिए गए को निम्नलिखित इमेज में अनुवाद करेगा: ghcr.io/christophetd/log4shell-vulnerable-app:latest। चूँकि विभिन्न कंटेनर रनटाइम इस मैपिंग को विभिन्न तरीकों से संग्रहीत करते हैं, यह एक विश्लेषक के घंटों की निराशा बचा सकता है। यह एक विश्लेषक को एक ही एप्लिकेशन चलाने वाले कई कंटेनरों को एकल खोज के रूप में मानने की भी अनुमति देता है।

• यह बेकार मैचों को हटाता है, जैसे कि वर्तमान में नहीं चल रहे कंटेनरों से संबंधित मैच, जिनमें कैश की गई इमेज शामिल हैं। यह एक विश्लेषक को महत्वपूर्ण पर ध्यान केंद्रित करने की अनुमति देता है और फिर से विश्लेषक के घंटों के अनावश्यक काम को बचाता है।

• यह एक विश्लेषक को इस आधार पर मैचों को अनदेखा करने की अनुमति देता है:

  • MD5 हैश
  • फ़ाइल पथ
  • कंटेनर इमेज

  यह विश्लेषक को उन अनुप्रयोगों को हटाने की अनुमति देता है जिनके बारे में वे जानते हैं कि वे कमजोर नहीं हैं या जो CLI-आधारित अनुप्रयोगों के अनुरूप हैं जो कोई खतरा पैदा नहीं करते हैं। उदाहरण के लिए, यदि Logstash का एक उदाहरण पाया जाता है, तो एक विश्लेषक इसे अनदेखा करना चुन सकता है यदि वे उपकरण नहीं चलाते हैं या केवल कभी-कभी CLI से चलाते हैं।

• यह आपके कॉन्फ़िगरेशन प्रबंधन उपकरणों जैसे Ansible के साथ काम करने के लिए अनुकूलित है, जो आपको मिनटों में अपने वातावरण को जल्दी से स्कैन करने की क्षमता देता है।

मेटाडेटा संवर्धन

Log4Shell Sentinel द्वारा जोड़े गए मेटाडेटा संवर्धन के विवरण के लिए, मेरे ब्लॉग पोस्ट का संदर्भ लें।

स्थापना

सबसे आसान तरीका केवल प्री-कंपाइल्ड बाइनरी डाउनलोड करना है।

स्रोत से निर्माण

फिर, यह सीधा-सादा है। हालांकि, आप शायद अपने वातावरण में GLIBC-संबंधित भिन्नताओं से बचने के लिए एक स्थिर रूप से संकलित संस्करण बनाना चाहेंगे। उपकरण निम्नलिखित मॉड्यूल का उपयोग करता है जो डिफ़ॉल्ट रूप से CGO का उपयोग करते हैं:

• os/user
• net

इन लाइब्रेरियों के Go-संस्करणों का उपयोग करने वाला एक स्थिर रूप से संकलित संस्करण बनाने के लिए, बस रिपो को क्लोन करें और फिर चलाएँ:

$ CGO_ENABLED=0 go build -ldflags="-s -w"
$ ldd log4shell_sentinel
        not a dynamic executable

उपयोग

$ ./log4shell_sentinel -h
NAME:
   Log4Shell Sentinel - by Osama Elnaggar

USAGE:
   log4shell_sentinel [global options] command [command options] [arguments...]

VERSION:
   v1.0.0

COMMANDS:
   help, h  Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --path value, -p value       Path to search (default: ".")
   --no-banner, --nb            Suppress banner (default: false)
   --no-messages, --nm          Suppress messages except for CSV output (default: false)
   --no-header, --nh            Suppress header in CSV output (default: false)
   --imd5 value, --im value     Ignore MD5 hashes. Refer to the GitHub page for expected format
   --ipath value, --ip value    Ignore file path matches. Refer to the GitHub page for expected format
   --icimage value, --ic value  Ignore container image matches. Refer to the GitHub page for expected format
   --print-headers, --ph        Print CSV Headers only (default: false)
   --help, -h                   show help (default: false)
   --version, -v                print the version (default: false)

डिफ़ॉल्ट रूप से, एक स्कैन बस वर्तमान निर्देशिका को स्कैन करेगा। उदाहरण के लिए:

$ ./log4shell_sentinel

░█░░░█▀█░█▀▀░█░█░█▀▀░█░█░█▀▀░█░░░█░░░░░█▀▀░█▀▀░█▀█░▀█▀░▀█▀░█▀█░█▀▀░█░░
░█░░░█░█░█░█░░▀█░▀▀█░█▀█░█▀▀░█░░░█░░░░░▀▀█░█▀▀░█░█░░█░░░█░░█░█░█▀▀░█░░
░▀▀▀░▀▀▀░▀▀▀░░░▀░▀▀▀░▀░▀░▀▀▀░▀▀▀░▀▀▀░░░▀▀▀░▀▀▀░▀░▀░░▀░░▀▀▀░▀░▀░▀▀▀░▀▀▀

- A CVE-2021-44228/CVE-2021-45046/CVE-2021-45105 Scanner
- v1.0.0
- by Osama Elnaggar

[*] WARNING: Running as non-root user.
             Non-readable files / dirs will be skipped
             Container mapping will fail

[*] Starting shallow scan ............ [DONE]
[*] Starting deep scan ............... [DONE]
[*] Calculating MD5 hashes ........... [DONE]
[*] Performing container image lookups [DONE]
[*] Processing ignore list(s) ........ [DONE]
[*] Generating output ................ [DONE]

IP,Hostname,AppName,Team,Ignore (Y/N),Comments,MD5Hash,Timestamp,Container,ContainerImage,FullPath,Version
192.168.121.121,server3,,,,,4e615cd580758b70c49ade1f79103328,2021-12-21T07:38:09Z,true,ghcr.io/christophetd/log4shell-vulnerable-app:latest,/run/containerd/io.containerd.runtime.v2.task/k8s.io/dc2c9c214809f506283c917244cd126a9b056ac7274322d12b59c9196d95dd9b/rootfs/app/spring-boot-application.jar,log4j-core-2.14.1.jar

यदि आप इसे गैर-root उपयोगकर्ता के रूप में चलाते हैं तो आपको तुरंत एक चेतावनी मिलेगी, क्योंकि इसे root अनुमतियों की आवश्यकता है:

• यदि आप अपने पूरे फाइलसिस्टम को स्कैन करने की योजना बनाते हैं (अनुशंसित)
• यदि आप कंटेनर -> इमेज लुकअप को समृद्ध करने की योजना बनाते हैं (Docker डेमॉन, कॉन्फ़िग फ़ाइलें, आदि तक पहुंच आवश्यक है)

यह root विशेषाधिकारों के बिना भी काम करेगा लेकिन सर्वोत्तम परिणाम नहीं दे सकता है।

निष्कर्षों को समझना

एक नमूना निष्कर्ष इस प्रकार दिखता है:

IP,Hostname,AppName,Team,Ignore (Y/N),Comments,MD5Hash,Timestamp,Container,ContainerImage,FullPath,Version
192.168.121.121,server3,,,,,4e615cd580758b70c49ade1f79103328,2021-12-21T07:38:09Z,true,ghcr.io/christophetd/log4shell-vulnerable-app:latest,/run/containerd/io.containerd.runtime.v2.task/k8s.io/dc2c9c214809f506283c917244cd126a9b056ac7274322d12b59c9196d95dd9b/rootfs/app/spring-boot-application.jar,log4j-core-2.14.1.jar

कुछ फ़ील्ड जानबूझकर खाली छोड़ दी गई हैं और विश्लेषक द्वारा Excel आदि में भरने के लिए छोड़ दी गई हैं। प्रत्येक फ़ील्ड का संक्षिप्त विवरण नीचे दिखाया गया है:

विकल्प

उपकरण निम्नलिखित विकल्पों के साथ आता है:

कंटेनर मैपिंग -> इमेज समर्थन

Log4Shell Sentinel की अनूठी विशेषताओं में से एक, जो किसी अन्य उपकरण में नहीं मिलती है, फ़ाइल सिस्टम स्कैन में पाए जाने वाले jars जैसे:

/var/lib/docker/overlay2/192768f471818601094bf4edd96d14bfc0e2b178a04a2efd00b2231ad4e46b33/merged/app/spring-boot-application.jar

को संबंधित कंटेनर इमेज में अनुवाद करने की क्षमता है (उपरोक्त उदाहरण में ghcr.io/christophetd/log4shell-vulnerable-app:latest में अनुवादित होता है)। चूँकि विभिन्न कंटेनर रनटाइम इस मैपिंग को विभिन्न तरीकों से संग्रहीत करते हैं, यह एक विश्लेषक के घंटों की निराशा बचा सकता है। यह एक विश्लेषक को एक ही एप्लिकेशन चलाने वाले कई कंटेनरों को एकल खोज के रूप में मानने की भी अनुमति देता है। समाधान वर्तमान में निम्नलिखित लुकअप का समर्थन करता है:

• Docker (overlay2 स्टोरेज ड्राइवर के साथ)
• Docker (aufs स्टोरेज ड्राइवर के साथ)
• CRI-O
• containerd

अनदेखी सूचियाँ

पहचाने गए अनुप्रयोगों की संख्या शुरू में भारी हो सकती है या आप पहले पहचाने गए अनुप्रयोगों के किसी दिए गए उपसमूह पर ध्यान केंद्रित करना चाह सकते हैं, जैसे कि बाहरी उपयोगकर्ताओं के लिए उजागर होने वाले। या आप किसी दिए गए अनुपालन दायरे पर ध्यान केंद्रित करना चाह सकते हैं। इसका समर्थन करने के लिए, एप्लिकेशन एक सूची निर्दिष्ट करने का समर्थन करता है। Log4Shell वर्तमान में 3 अनदेखी सूचियों का समर्थन करता है:

• MD5 हैश अनदेखी सूची
• कंटेनर इमेज अनदेखी सूची
• पथ अनदेखी सूची

सरल सूचियों के बजाय, यह इनपुट के रूप में एक CSV फ़ाइल की अपेक्षा करता है। यह विश्लेषक को यह दस्तावेज करने के लिए प्रोत्साहित करता है कि वे किसी दिए गए निष्कर्ष को क्यों अनदेखा कर रहे हैं। जैसे ही विश्लेषक निष्कर्षों को संसाधित करता है और मैन्युअल या स्वचालित स्रोत कोड विश्लेषण या DAST टूल आदि का उपयोग करके गैर-कमजोर अनुप्रयोगों की पहचान करता है।

MD5 हैश अनदेखी सूची

सूची निम्नलिखित प्रारूप में एक सरल CSV फ़ाइल है:

MD5Sum,AppName,Reason

AppName और Reason कॉलम खाली हो सकते हैं लेकिन आपके लिए यह ट्रैक रखने के लिए हैं कि आप विशिष्ट अनुप्रयोगों को क्यों शामिल या बाहर कर रहे हैं।

नोट चूँकि यह सुविधा एप्लिकेशन के लिए गणना किए गए MD5 हैश का उपयोग करती है, यह केवल उन अनुप्रयोगों के लिए काम करेगी जो fat / uber jars, EARs या WARs हैं।

उदाहरण के लिए, यदि हमारे पास निम्नलिखित निष्कर्ष था:

IP,Hostname,AppName,Team,Ignore (Y/N),Comments,MD5Hash,Timestamp,Container,ContainerImage,FullPath,Version
192.168.121.121,server3,,,,,4e615cd580758b70c49ade1f79103328,2021-12-21T07:38:09Z,true,ghcr.io/christophetd/log4shell-vulnerable-app:latest,/run/containerd/io.containerd.runtime.v2.task/k8s.io/dc2c9c214809f506283c917244cd126a9b056ac7274322d12b59c9196d95dd9b/rootfs/app/spring-boot-application.jar,log4j-core-2.14.1.jar

और निर्धारित किया कि एप्लिकेशन कमजोर नहीं है, तो हम बस hashes.csv में निम्नलिखित सहेज सकते हैं:

4e615cd580758b70c49ade1f79103328,Demo App,Not vulnerable

और फिर इसे पुनः चलाएँ:

# ./log4shell_sentinel --im hashes.csv --path /

उपरोक्त निष्कर्ष दबा दिया जाएगा।

कंटेनर मैपिंग -> इमेज अनदेखी सूची

सूची निम्नलिखित प्रारूप में एक सरल CSV फ़ाइल है:

Container Image,AppName,Reason

पिछले उदाहरण पर आधारित, हम इसे किसी भी निष्कर्ष को अनदेखा करने के लिए कह सकते हैं जहाँ कंटेनर इमेज है: ghcr.io/christophetd/log4shell-vulnerable-app:latest ऐसी images.csv फ़ाइल बनाकर:

ghcr.io/christophetd/log4shell-vulnerable-app:latest,,

और फिर इसे चलाकर:

# ./log4shell_sentinel --ic images.csv -p /

फिर से, हमारा पिछला निष्कर्ष दबा दिया जाएगा।

पथ अनदेखी सूची

फिर, यह निम्नलिखित प्रारूप में एक सरल CSV फ़ाइल है:

Path,AppName,Reason

उपरोक्त उदाहरण का उपयोग करते हुए, यदि हम निम्नलिखित paths.csv फ़ाइल बनाते हैं:

/run/containerd/io.containerd.runtime.v2.task/k8s.io/dc2c9c214809f506283c917244cd126a9b056ac7274322d12b59c9196d95dd9b/rootfs/app/spring-boot-application.jar,Demo App,Not vulnerable

पिछला निष्कर्ष दबा दिया जाएगा।

चेतावनी जब संभव हो, तो दमन के लिए MD5 हैश या कंटेनर इमेज नाम का उपयोग करना बेहतर होता है क्योंकि पथ अद्वितीय नहीं हो सकता है।

अपने वातावरण की बड़े पैमाने पर स्कैनिंग

हालांकि Log4Shell Sentinel को एकल सर्वर पर चलाना पूरी तरह से ठीक है, यह वास्तव में तब चमकता है जब इसे आपके पसंदीदा कॉन्फ़िगरेशन प्रबंधन उपकरण (Ansible, Chef, Puppet, Salt, AWS SSM, आदि) या यहां तक कि सरल समानांतर SSH उपकरण जैसे parallel-ssh के साथ जोड़ा जाता है।

यह आपको कई लाभ देता है जिनमें शामिल हैं:

• अपने अनुप्रयोगों और कंटेनरों के डुप्लिकेट इंस्टेंस ढूंढना और विश्लेषण चरण में इन निष्कर्षों को एकल निष्कर्ष के रूप में मानना
• मिनटों में अपने पूरे वातावरण को स्कैन करना

इसके क्रियान्वयन का एक पूर्ण उदाहरण के लिए, मेरे ब्लॉग पोस्ट का संदर्भ लें।

कार्यप्रवाह

बड़े पैमाने पर अपने वातावरण की स्कैनिंग अनुभाग देखें।

अक्सर पूछे जाने वाले प्रश्न

• मुझे सभी कमजोर अनुप्रयोग दिखाई नहीं दे रहे हैं। क्यों?
  • प्राथमिक कारण शायद या तो इसे root उपयोगकर्ता के रूप में नहीं चलाना (इसे उन स्थानों तक पहुंच की आवश्यकता है जहाँ आपके एप्लिकेशन स्थापित हो सकते हैं) या आपने सही path निर्दिष्ट नहीं किया है। यह अनुशंसित है कि आप इसे root उपयोगकर्ता के रूप में चलाएँ और --path / सेट करें।
• इसकी सीमाएँ क्या हैं? कुछ सीमाएँ शामिल हैं:
  • उपकरण निश्चित रूप से यह नहीं बता सकता कि कोई दिया गया एप्लिकेशन कमजोर है या नहीं। इसके बजाय, यह पता लगाएगा कि किसी एप्लिकेशन में लाइब्रेरी का एक संस्करण है जो कमजोर है।
  • यदि पाया गया एप्लिकेशन कंटेनर में नहीं चल रहा है, तो उपकरण यह पता नहीं लगा सकता कि कोई दिया गया एप्लिकेशन चल रहा है या नहीं। इसलिए कमांड लाइन टूल भी जो कमजोर संस्करण का उपयोग करता है, पता लगाया जाएगा।
  • उपकरण को SSH पहुंच की आवश्यकता है और इसलिए यह उन सिस्टमों पर समस्याओं का पता नहीं लगाएगा जहाँ यह नहीं चल सकता।
• कंटेनर -> इमेज मैपिंग काम नहीं कर रही है। क्यों?

  • v1.0.0 तक, उपकरण वर्तमान में निम्नलिखित के लिए मैपिंग का समर्थन करता है:

    • Docker (Overlay2 स्टोरेज ड्राइवर के साथ)
    • Docker (aufs स्टोरेज ड्राइवर के साथ)
    • CRI-O
    • containerd

    यदि आप कुछ और उपयोग कर रहे हैं, तो मैपिंग काम नहीं करेगी। यदि आप उपरोक्त में से एक का उपयोग कर रहे हैं, तो हो सकता है कि आप उपकरण को root उपयोगकर्ता के रूप में नहीं चला रहे हैं या उपयोग किए जाने वाले सॉकेट/फ़ाइलें डिफ़ॉल्ट स्थान पर नहीं हैं।

• यह किन कमजोरियों का पता लगाता है?
  • मुख्य रूप से log4j के उन संस्करणों का पता लगाने के उद्देश्य से जो CVE-2021-45105 के प्रति संवेदनशील हो सकते हैं, यह उन संस्करणों को भी चिह्नित करता है जो CVE-2021-45046 और CVE-2021-44228 के प्रति कमजोर हैं।
• क्या उपकरण Windows पर काम करता है?
  • हालाँकि मैंने इसका परीक्षण नहीं किया है, यह काम करना चाहिए। हालाँकि, कंटेनर फ़ाइल -> इमेज मैपिंग जैसी सुविधाएँ Linux-विशिष्ट हैं।

लेखक

द्वारा विकसित: Osama Elnaggar

• वेबसाइट: https://osamaelnaggar.com
• ट्विटर: https://twitter.com/securityfu
• लिंक्डइन: https://www.linkedin.com/in/osama-elnaggar-08230957