CVE-2021-44228_scanner (修正版) - 非推奨

オリジナルのスクリプトとリポジトリ: https://github.com/CERTCC/CVE-2021-44228_scanner

修正者: Alex Pena

log4j CVE-2021-44228 問題に対して脆弱なアプリケーションは、JndiLookup.class の存在を検索するために jar、war、ear ファイルをスキャンすることで検出できる可能性があります。

発見されたファイルはすべて、それを使用しているアプリケーションが脆弱かどうかを判断するために調査する価値があります。JndiLookup.class が存在する場合、log4j は通常 jar ファイル名にバージョンを含めています。例えば、log4j-core-2.14.1.jar にヒットした場合、脆弱なアプリケーションを示しています。一方、log4j-core-2.16.jar もヒットする可能性があります。これは、JndiLookup コードが log4j の 2.16 バージョンにもまだ存在するものの、デフォルトでは無効になっているためです。詳細については VU#930724 を参照してください。

パラメータ

-Force      Allow scanning of system and hidden files (The Force parameter doesn't override security restrictions)
-Verbose    Extra scanning output and messages

現在のディレクトリをスキャン

.\checkjndi.ps1

test_folder ディレクトリを、追加出力とシステム/隠しファイルのスキャン付きでスキャン

.\checkjndi.ps1 -Force -Verbose c:\Users\alex\Desktop\test_folder

スクリーンショット

例えば、以下はスキャナーの PowerShell バージョンの実行例です: $checkjndi.ps1 execution on c:\$

スキャンする場所はスクリプトにパイプで渡せるため、チェック対象を制御できます。例えば、paths.txt ファイルに含まれるパスのリストをスキャンするには:

get-content .\paths.txt | .\checkjndi.ps1

結果の解釈

Windows スキャン実行での最初のヒットを見てみましょう:

C:\Users\unst0\Desktop\test_folder\apache-log4j-2.17.1-bin.zip contains apache-log4j-2.17.1-bin/log4j-core-2.17.1.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class ** BUT APPEARS TO BE PATCHED **

この jar ファイルには、CVE-2021-44228 に対して脆弱ではない log4j の 2.17 バージョンが含まれています。この結果は情報提供のみを目的として報告されており、ベンダーが製品にパッチを適用済みであることを示しています。

2 番目のヒットを見てみましょう:

WARNING: C:\Users\unst0\Desktop\test_folder\ghidra_10.0.4_PUBLIC_20210928.zip contains ghidra_10.0.4_PUBLIC/Ghidra/Framework/Generic/lib/log4j-core-2.12.1.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class

ここでは、Ghidra が log4j バージョン 2.12.1 を使用していることがわかるため、脆弱であると想定すべきです。実際、10.1 より前の Ghidra バージョンは CVE-2021-44228 に対して脆弱です。

3 番目のヒットを見てみましょう:

WARNING: C:\Users\unst0\Desktop\test_folder\server.jar contains META-INF/libraries/org/apache/logging/log4j/log4j-core/2.14.1/log4j-core-2.14.1.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class

ここでは、minecraft の server.jar ファイルが log4j バージョン 2.14.1 を使用していることがわかるため、脆弱であると想定すべきです。実際、1.18.1 より前の Minecraft: Java Edition サーバーバージョンは CVE-2021-44228 に対して脆弱です。

これらのスクリプトのいずれかによって報告されたヒットはすべて調査し、log4j のバージョンが実際に修正済みの 2.16 バージョンであることを確認するか、ソフトウェアベンダーに連絡して修正済みバージョンのソフトウェアを入手してください。あるいは、VU#930724 には、脆弱な jar ファイルから JndiLookup.class を削除する方法に関する情報があります。

返されるエラー

PowerShell バージョンのスキャナーには、ファイルまたはディレクトリを調査できない場合の追加のエラー報告があります。特に、UnauthorizedAccessException を報告する Unable to scan エラーは、ディレクトリおよび/またはファイルへのアクセスにおける権限の問題を示しています。InvalidDataException を報告する Unable to scan エラーは、通常、アーカイブの破損が原因です。

CVE-2021-44228_scanner-main-Modified-

人気