Log4Shell CVE-2021-44228 緩和策 Ansible ロール

この Ansible ロールは、影響を受ける Log4j JAR ファイルから脆弱な JndiLookup クラスを削除することで、Log4Shell 脆弱性 (CVE-2021-44228) をプログラム的に緩和する Python ベースのスクリプトをデプロイします。

Ansible 経由で実行するように設計されていますが、必要に応じて手動でスクリプトを実行することもできます。

Log4Shell 脆弱性の詳細はこちらをご覧ください：

機能

指定されたアプリケーションディレクトリ内の Log4j JAR を検索します
JndiLookup.class が存在するか確認します
変更前に元の JAR をバックアップします
JAR から JndiLookup.class を削除します
すべてのアクションをログファイルに書き込みます
YAML ファイルで設定可能です
複数のシステムへの自動デプロイ用に Ansible ロールとしてパッケージ化されています

必要条件

Python 3.6+
ターゲットシステムに zip と zipinfo がインストールされていること
ターゲットシステムに PyYAML がインストールされていること (pip install pyyaml)

設定

スクリプトは YAML ファイルで設定され、ロールによって自動的にテンプレート化されます。

config.yaml の例：

app_directories:
  - /opt/apps
backup_directory: /opt/backups
log_file: /var/log/log4j_mitigation.log

app_directories: JAR ファイルをスキャンするディレクトリのリスト
backup_directory: 元の JAR バックアップを保存する場所
log_file: 操作追跡用のログファイルのパス

Ansible ロールとしての使用方法

このロールをプレイブックに追加します：

- name: Mitigate Log4Shell CVE-2021-44228
  hosts: all
  become: true
  roles:
    - log4shell_mitigation

直接使用する場合

スクリプトを手動で実行したい場合は、次の手順で行えます：

スクリプトをターゲットマシンにコピーします：
```
files/log4shell_mitigator.py
```
同じディレクトリに独自の config.yaml を作成します。
実行します：
```
python3 log4shell_mitigator.py
```

検証

設定されたログファイル（デフォルト: /var/log/log4j_mitigation.log）を確認して、どの JAR がパッチ適用されたかを確認します
クラス削除後もアプリケーションが正しく起動することを確認します
理想的には、本番展開前にステージング環境でテストしてください

注意事項

この方法は Log4j をアップグレードするのではなく、脆弱なクラスを削除して攻撃経路をブロックします
長期的な修正として Log4j をアップグレードする必要があります
広く展開する前に必ず徹底的にテストしてください

ライセンス

MIT

コントリビューション

PR や改善提案を歓迎します -> フォークしてマージリクエストを送信してください。

免責事項

本ソフトウェアおよび付随する Ansible ロールは、明示または黙示を問わず、いかなる種類の保証もなく 「現状のまま」 提供されます。本コードをいかなる環境に適用する前に、その適合性、安全性、有効性を評価およびテストする責任はすべてお客様にあります。AxisOps Ltd (GB08681761) は、本コードの使用または誤用に起因する損害、データ損失、サービス中断、その他の損害について一切の責任を負いません。

自己責任で使用してください。本番環境に展開する前に、管理された環境でコードを監査、テスト、検証してください。

AxisOps SysOps チーム

CVE-2021-44228

人気