Log4Shell प्रत्यक्ष-प्रभाव फ़िक्स्चर

ShieldOps के लिए जानबूझकर भेद्य, गैर-तैनाती योग्य Java/Maven इनपुट। इसे बिल्ड, निष्पादित या तैनात न करें।

प्रोजेक्ट org.apache.logging.log4j:log4j-core:2.14.1 को पिन करता है। LoginAuditService.recordLoginAttempt एक अनधिकृत HTTP User-Agent मान को Log4j संदेश पैरामीटर में भेजता है। यही CVE-2021-44228 के लिए वर्णित हमलावर-नियंत्रित-संदेश स्थिति है।

अपेक्षित निष्कर्ष:

• पैकेज प्रयोज्यता: प्रभावित;
• कोड प्रभाव: LoginAuditService.java को प्रभावित के रूप में वर्गीकृत किया जाना चाहिए, न कि केवल एक आयात;
• गंभीरता: क्रिटिकल (NVD CVSS 3.1 स्कोर 10.0);
• टिकाऊ उपचार: Log4j को अपग्रेड करें और आर्टिफैक्ट को पुनर्निर्मित/पुनःतैनात करें;
• स्रोत/नियंत्रण विकल्प: भेद्य लॉगिंग पथ से हमलावर-नियंत्रित मान को हटाएं;
• अस्थायी कॉन्फ़िगरेशन शमन: केवल तब जब सटीक Log4j/JVM संयोजन प्रलेखित नियंत्रण का समर्थन करता हो, अवशिष्ट जोखिम और अपग्रेड अनुवर्ती के साथ;
• तैनाती मार्गदर्शन: कंटेनर, Kubernetes, और बेयर-मेटल होस्ट के लिए अलग सशर्त सलाह, जिसमें प्रवर्तन को अक्षम करने की सलाह के बजाय SELinux सत्यापन शामिल हो।

ShieldOps रिपॉजिटरी रूट से आयात करें:

uv run shieldops create-case "Log4Shell direct impact demo"
uv run shieldops intake --case <case-id> --input hack/log4shell-direct-impact/intake.json
uv run shieldops cases
uv run shieldops investigate --case <case-id> \
  --finding 'CVE-2021-44228:maven:org.apache.logging.log4j:log4j-core:2.14.1'

प्रामाणिक रिकॉर्ड:

• https://logging.apache.org/security.html#CVE-2021-44228
• https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• https://api.osv.dev/v1/vulns/CVE-2021-44228