log4j-remediation-tools

Strumenti per trovare e riprodurre la vulnerabilità CVE-2021-44228 di log4j2

Strumenti

• find-vulnerabilities: determina euristicamente se una JVM in esecuzione è vulnerabile
• confirm-vulnerabilities: determina con precisione al 100% se una JVM in esecuzione è vulnerabile

Uso

Entrambi questi strumenti analizzano tutti i processi JVM in esecuzione su una macchina e producono un report CSV sui processi che potrebbero essere / sono vulnerabili.

Consulta i README corrispondenti per find-vulnerabilities/ e confirm-vulnerabilities/ per i dettagli d'uso.

Quale strumento dovrei usare?

Ecco alcuni compromessi per aiutarti a determinare quale strumento è adatto al tuo caso d'uso:

find-vulnerabilities è a basso rischio da eseguire, ma può non rilevare:

• Casi in cui una proprietà di sistema non è impostata sulla CLI, ad esempio in fase di esecuzione
• Casi in cui la JVM ha chiuso il descrittore di file per il jar
• Release non standard / con patch di log4j2

confirm-vulnerabilities utilizza l'API JVM Attach, che:

• Potrebbe non funzionare se un'applicazione disabilita esplicitamente questa API
• Potrebbe causare il crash della JVM in esecuzione a causa di bug della JVM
• Potrebbe rallentare brevemente la JVM in esecuzione mentre attende la pausa della JVM

Contributi

Questo progetto accoglie feedback e contributi; tuttavia, potremmo essere lenti a rispondere o a gestire le tue richieste. Apprezziamo la tua pazienza.

Licenza

Questo progetto utilizza la licenza MIT.

Codice di condotta

Questo progetto ha adottato il Codice di condotta di Stripe.