log4j-vuln-demo

Sysdig CNAPPのスキャンおよび修復テスト用の意図的に脆弱なデモイメージ。

Log4j 2.14.1 を含んでおり、CVE-2021-44228 (Log4Shell, CVSS 10.0 Critical) に対して脆弱です。

目的

このリポジトリは、SysdigのエンドツーエンドのCNAPPワークフローを実証するために存在します：

1. /sysdig-investigate — 脆弱なイメージを表面化し、修復のためにランク付けします
2. /sysdig-remediate — 安全な修正バージョン (2.15.0+) を解決し、PRを開きます

修正

pom.xml 内の log4j-core と log4j-api を 2.17.1 以降にバンプします。

イメージ

適切なバージョン番号を使用して、後で 1.0.1 などにバンプできるようにします

ghcr.io/aaronm-sysdig/log4j-vuln-demo:1.0.0