.. image:: images/Mitiga_logo.png

Introduzione

Forniamo ai team DevOps e di sicurezza uno script per identificare carichi di lavoro cloud potenzialmente vulnerabili alla vulnerabilità Log4j (log4shell) nel loro account AWS. Attualmente supportiamo le vulnerabilità RCE "CVE-2021-44228" e "CVE-2021-45046". Lo script consente ai team di sicurezza di identificare le risorse AWS esposte esternamente eseguendo l'exploit su di esse, e quindi di mapparle e correggerle rapidamente.

Informazioni Generali

• Informazioni su CVE-2021-44228: https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• Informazioni su CVE-2021-45046: https://nvd.nist.gov/vuln/detail/CVE-2021-45046
• Posizione centrale aggiornata che delinea tutto ciò che è necessario sapere su Log4Shell: https://www.mitiga.io/blog/log4shell-everything-in-one-place
• Approfondimento sull'algoritmo: https://www.mitiga.io/blog/log4shell-identify-vulnerable-external-facing-workloads-in-aws-tutorial

Funzionalità ########

• Scansiona le risorse in tutte le regioni
• Scansiona tutte le risorse di calcolo esposte a Internet
• Possibilità di eseguirlo con un proxy
• Supporto per molteplici modalità di configurazione delle credenziali AWS utilizzando le variabili d'ambiente note di AWS: <https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-envvars.html>_

Installazione / Requisiti

• cPython 3.6 e superiore

• installare i pacchetti Python richiesti: .. code-block:: console

  root@kitploit:~

    pip3 install -r requirements.txt
  

• Permessi AWS per scansionare le risorse: .. code-block:: json

  { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeSecurityGroups", "elasticloadbalancing:DescribeLoadBalancers", "elasticloadbalancing:DescribeListeners", "elasticloadbalancing:DescribeRules", "elasticloadbalancing:DescribeTargetGroupAttributes", "elasticloadbalancing:DescribeTargetGroups", ], "Resource": "*" } ] }

Prima di Eseguire lo Script ######## È necessario un server che attenda le richieste DNS dagli endpoint vulnerabili, Per questa demo utilizziamo: interactsh <https://github.com/projectdiscovery/interactsh>, che è uno strumento esterno. Puoi utilizzare il client Interactsh o l'app web Interactsh <https://app.interactsh.com/#/>

Esecuzione

1. Ottieni l'URL per le richieste DNS. Usando 'interactsh' puoi trovarlo nell'app client qui: .. image:: images/interactshdomain.png o usando l'app web: .. image:: images/webinteractsh.png

2. Esegui lo script main.py con gli argomenti:

   • '--dest-domain' - per il server che riceverà la risposta dall'endpoint vulnerabile
   • '--cve-id' - il CVE da controllare (CVE-2021-44228, CVE-2021-45046)
   • (opzionale) '--proxies' - Se esegui le richieste da un server proxy esempi: .. code-block:: console

     Controllo del CVE più vecchio (CVE-2021-44228)

     python3 main.py --dest-domain test.interactsh.com

     Controllo con CVE-2021-45046

     python3 main.py --dest-domain test.interactsh.com --cve-id=CVE-2021-45046

     Controllo del CVE più vecchio (CVE-2021-44228), usando proxy

     python3 main.py --dest-domain test2.interactsh.com --proxies http://127.0.0.1:8080 https://127.0.0.1:8080

Trovare Endpoint Vulnerabili ######## gli endpoint vulnerabili dovrebbero inviare richieste DNS al tuo server con il formato:

• Istanze EC2: '{id istanza}.{dominio destinazione}'. esempio: i-092ed1f7d1230bb9a.test.interactsh.com
• Load Balancer: '{nome load balancer}.{dominio destinazione}'. esempio: lb-name.test.interactsh.com

esempio cli:

.. image:: images/interactshresult.png

esempio web:

.. image:: images/webinteractsh_result.png

Disclaimer

Questo progetto dovrebbe essere utilizzato solo per scopi educativi. Il progetto non sostituisce un piano di correzione maturo e non fornisce una copertura completa sulle risorse esposte esternamente o vulnerabili. Mitiga non si assume alcuna responsabilità per danni causati dall'utilizzo di questo progetto.