Ruolo Ansible per la Mitigazione di Log4Shell CVE-2021-44228

Questo ruolo Ansible distribuisce uno script basato su Python per mitigare in modo programmatico la vulnerabilità Log4Shell (CVE-2021-44228) rimuovendo la classe vulnerabile JndiLookup dai file JAR di Log4j interessati.

È progettato per essere eseguito tramite Ansible, ma puoi anche eseguire lo script manualmente, se lo desideri.

Leggi di più sulla vulnerabilità Log4Shell qui:

• Wikipedia
• NVD CVE-2021-44228
• Il nostro thread su Twitter

Caratteristiche

• Cerca JAR di Log4j nelle directory applicative specificate
• Verifica se JndiLookup.class è presente
• Esegue un backup del JAR originale prima della modifica
• Rimuove JndiLookup.class dal JAR
• Scrive tutte le azioni in un file di log
• Configurabile tramite un file YAML
• Confezionato come ruolo Ansible per la distribuzione automatizzata su più sistemi

Requisiti

• Python 3.6+
• zip e zipinfo installati sui sistemi target
• PyYAML installato sui sistemi target (pip install pyyaml)

Configurazione

Lo script è configurato tramite un file YAML, templato automaticamente dal ruolo.

Esempio di config.yaml:

app_directories:
  - /opt/apps
backup_directory: /opt/backups
log_file: /var/log/log4j_mitigation.log

• app_directories: elenco delle directory in cui cercare i file JAR
• backup_directory: dove archiviare i backup dei JAR originali
• log_file: percorso del file di log per il tracciamento delle operazioni

Utilizzo come Ruolo Ansible

Aggiungi questo ruolo al tuo playbook:

- name: Mitigare Log4Shell CVE-2021-44228
  hosts: all
  become: true
  roles:
    - log4shell_mitigation

Utilizzo Diretto

Se desideri eseguire lo script manualmente, puoi farlo:

1. Copia lo script sulla macchina di destinazione:

   root@kitploit:~

   files/log4shell_mitigator.py
   

2. Crea il tuo config.yaml nella stessa directory.

3. Eseguito:

   root@kitploit:~

   python3 log4shell_mitigator.py
   

Validazione

• Controlla il file di log configurato (predefinito: /var/log/log4j_mitigation.log) per vedere quali JAR sono stati patchati
• Verifica che le tue applicazioni si avviino ancora correttamente dopo la rimozione della classe
• Idealmente, testa in un ambiente di staging prima del rollout in produzione

Note

• Questo approccio non aggiorna Log4j, ma rimuove la classe vulnerabile per bloccare il percorso di exploit
• Dovresti comunque aggiornare Log4j come soluzione a lungo termine
• Testa sempre accuratamente prima di distribuire su larga scala

Licenza

MIT

Contribuire

PR e miglioramenti sono benvenuti -> per favore fai un fork e invia una merge request.

Disclaimer

Questo software e il ruolo Ansible allegato sono forniti “così come sono” e senza garanzie di alcun tipo, esplicite o implicite. Sei l'unico responsabile per valutare e testare l'idoneità, la sicurezza e l'efficacia di questo codice prima di applicarlo a qualsiasi ambiente. AxisOps Ltd (GB08681761) declina espressamente qualsiasi responsabilità per danni, perdita di dati, interruzione del servizio o altri danni derivanti dall'uso o dall'abuso di questo codice.

Usalo a tuo rischio. Controlla, testa e convalida sempre il codice in un ambiente controllato prima del dispiegamento in produzione.

Team SysOps @ AxisOps