Log4j2 脆弱性ローカルスキャナー (CVE-2021-45046)

Log4j 脆弱性のローカル検出スクリプト。ホスト上の全てのJavaプロセスをスキャンし、脆弱性のあるlog4j-core JARが導入されているか、リモートコード実行攻撃（CVE-2021-45046）の可能性があるかを確認します。スキャン結果を指定されたサーバーにアップロードします。

ホスト上の全てのJavaプロセスをスキャンし、log4j2のリモートコード実行（CVE-2021-45046）の影響を受けるかどうかを確認し、レポートをAPIサーバーにアップロードします。

python2.7 / 2.6 / 3.x で動作し、追加ライブラリは不要です。

更新履歴

• 2021-12-22 log4j-core/pom.properties のバージョン検出を追加

スキャンロジック

1. ホスト上のjavaプロセスを列挙
2. javaプロセスが開いているjarを列挙
3. log4j-core-* jarを検索
4. 他のjarを再帰的に解凍し、log4j-core-* jarを検索
5. log4j-core jar内でJndiLookup.classを検索
6. JndiLookup.classが見つかった場合、そのバージョン番号、JVM引数、OS環境変数、Dockerコンテナプロセスかどうか、k8sプロセスかに基づいて脆弱性の有無を出力し、アップグレードのヒントを表示
7. スキャン結果を指定されたサーバーにアップロード

動作の仕組み

• ホスト上のすべてのjavaプロセスを検出
• javaプロセスが開いているすべてのjarファイルを検出
• log4j-core-*.jar を検索
• 他のjarファイルを再帰的に解凍し、log4j-core-*.jarを検索
• log4j-core-*.jar内のJndiLookup.classを検索
• JndiLookup.classが見つかった場合、そのバージョン、JVM引数、OS環境変数、Dockerコンテナかどうか、k8sかどうかに基づいてヒントを出力
• 完全なレポートをAPIサーバーにアップロード

安定性の仕組み

• 再帰：jarの再帰的解凍は最大5階層まで
• メモリ：解凍のたびに自身のメモリ使用量を監視し、最大300MBを超えないようにする。超えた場合はスキャンをスキップし、部分的な結果とメモリエラーを報告
• ネットワーク：スキャン終了後、0〜10秒のランダムなスリープを挿入。仮に1万台のホストがあれば、毎秒約1000台のサーバーにのみ報告が送られる

一括スキャン

Agentに組み込むか、またはこのスキャンスクリプトを一回限り配布して実行できます。運用サーバーにログインして、全ネットワークを一括スキャンすることも可能です。

Agentを簡単に利用できない場合は、OPSサーバーで以下のコマンドを実行してください。

cat hosts.txt|xargs -P 5 -I{} sh -c 'ssh root@{} -oStrictHostKeyChecking=no -oUserKnownHostsFile=/dev/null "wget http://your_site/to_download/log4j2_vul_scanner.py -O /tmp/log4j2_vul_scanner.py -q && python /tmp/log4j2_vul_scanner.py && /usr/bin/rm /tmp/log4j2_vul_scanner.py" > ./logs.txt||exit 0'