Arctic Wolf Log4Shell Deep Scan

Arctic Wolf Log4Shell Deep Scan è progettato per rilevare pacchetti di applicazioni Java soggetti a CVE-2021-44228 e CVE-2021-45046.

Note legali

Copyright 2021, Arctic Wolf Networks, Inc.

Arctic Wolf Networks, Inc. concede in licenza questo file secondo la Licenza Apache, Versione 2.0 (la "Licenza"). Non è possibile utilizzare questo file se non in conformità con la Licenza. È possibile ottenere una copia della Licenza all'indirizzo http://www.apache.org/licenses/LICENSE-2.0.

Salvo ove richiesto dalla legge applicabile o concordato per iscritto, il software distribuito secondo la Licenza è distribuito "COSÌ COM'È", SENZA GARANZIE O CONDIZIONI DI ALCUN TIPO, esplicite o implicite. Consultare la Licenza per il linguaggio specifico che regola i permessi e le limitazioni previsti dalla Licenza.

Contesto

Questo script cerca nel sistema le applicazioni Java che contengono la classe Log4J JndiLookup.class, che è l'origine delle vulnerabilità Log4Shell. Se questa classe viene trovata all'interno di un'applicazione, lo script cerca gli aggiornamenti a Log4J che indicano che l'applicazione è stata aggiornata per utilizzare Log4J 2.16+ o Log4J 2.12.2+. Se l'applicazione contiene JndiLookup.class ma non sembra essere stata aggiornata, l'applicazione è vulnerabile.

Per ulteriori dettagli, vedere:

• https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• https://nvd.nist.gov/vuln/detail/CVE-2021-45046
• https://logging.apache.org/log4j/2.x/security.html

Per le procedure di correzione, contattare il fornitore di ciascuna applicazione interessata.

Risultati della scansione

Ogni scansione avrà uno dei seguenti risultati:

• PASS: tutte le applicazioni Java rilevate sono state scansionate e non sono state trovate applicazioni vulnerabili.
• FAIL: sono state trovate una o più applicazioni Java vulnerabili. Vedere l'output e il JSON per i percorsi. Se lo script non è stato in grado di scansionare alcune applicazioni, queste saranno elencate anche nell'output e nel JSON.
• UNKNOWN: non sono state rilevate applicazioni Java vulnerabili, ma lo script non è stato in grado di rilevare tutte le applicazioni scansionate. Vedere l'output e il JSON per i percorsi.
• ERROR: lo script ha riscontrato un errore e non è stato in grado di completare. Vedere l'output per i dettagli.

Se si trovano applicazioni vulnerabili

Per le procedure di correzione, contattare il fornitore di ciascuna applicazione interessata.

Istruzioni per l'uso

Scaricare la versione più recente qui: log4shell_deep_scan_0.3.zip.

Windows

Note importanti

• Questo script richiede .NET 4.5+
• Questo script deve essere eseguito in un contesto privilegiato (ad es. come amministratore)
• Questo script può utilizzare fino a una singola CPU e funzionare per 1-20 minuti a seconda delle dimensioni del disco da scansionare e del volume di file. Si prega di testare per valutare l'impatto sulle risorse e considerare l'impostazione della priorità del processo se necessario.

Per eseguirlo, aprire il Prompt dei comandi (cmd.exe) come amministratore:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1

Per impostazione predefinita, verranno cercati tutti i dischi fissi. Specificare un search_root come segue:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1 -search_root C:\START_HERE

I risultati verranno scritti in un file nella directory di lavoro corrente come segue:

log4shell_deep_scan.output.<hostname>.<timestamp>.json

Per specificare un nome per il file di output, fornirlo come parametro nel modo seguente:

> powershell -ExecutionPolicy ByPass -f log4shell_deep_scan.ps1 -output_filepath FILENAME_HERE.json

Questa operazione può richiedere diversi minuti. Ctrl-c per interrompere.

Linux/macOS

Note importanti

• Questo script deve essere eseguito in un contesto privilegiato (ad esempio come root o usando sudo) in modo da poter accedere all'intero sistema.
• Questo script può utilizzare fino a una singola CPU e funzionare per 1-20 minuti a seconda delle dimensioni del disco analizzato e del volume di file. Si prega di testare per valutare l'impatto sulle risorse e considerare l'uso di nice se necessario.

Per eseguirlo, aprire il prompt dei comandi:

$ sudo sh log4shell_deep_scan.sh

Per impostazione predefinita, verranno cercati tutti i dischi fissi. Specificare un search_root come segue:

$ sudo sh log4shell_deep_scan.sh /START_HERE

I risultati verranno scritti in un file nella directory di lavoro corrente come segue:

log4shell_deep_scan.output.<hostname>.<timestamp>.json

Per specificare un nome per il file di output, fornirlo come parametro nel modo seguente:

$ sudo sh log4shell_deep_scan.sh /START_HERE FILENAME_HERE.json

This can take several minutes. Ctrl-c to abort.

Esempi di output JSON

PASS

L'output JSON per le scansioni che PASS avranno 1 voce come segue:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:24:46.8919939-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"PASS", "vulnerable_jar":false } 
]

FAIL

L'output JSON per le scansioni che restituiscono FAIL avrà 1 voce per ogni applicazione Java vulnerabile trovata sul sistema, come segue:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin\\log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin.jar!log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\log4j-core-2.12.1.jar" }
]

FAIL con UNKNOWN

L'output JSON per le scansioni che restituiscono FAIL e che contengono jar non scansionati avrà 1 voce per ciascuna applicazione Java vulnerabile o non scansionata trovata sul sistema, come segue:

[
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin\\log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"FAIL", "vulnerable_jar":"C:\\Users\\user1234\\Downloads\\apache-log4j-2.12.1-bin.jar!log4j-core-2.12.1.jar" },
  { "hostname":"DESKTOP-US1234", "scan_ts":"2021-12-16T18:14:09.7897291-06:00", "scan_v":"0.3", "search_root":"C:\\", "result":"UNKNOWN", "unscanned_jar":"C:\\Users\\user1234\\Downloads\\log4j-3234-2.12.1.jar" }
]

Changelog

La versione 0.3, rilasciata il 17 dicembre 2021, include i seguenti miglioramenti e correzioni:

• Prima release open-source
• Licenza, documentazione e denominazione aggiornate

La versione 0.2, rilasciata il 17 dicembre 2021, include i seguenti miglioramenti e correzioni: