Log4Shell 直接影響フィクスチャ

ShieldOps 向けの、意図的に脆弱でデプロイ不可の Java/Maven 入力です。ビルド、実行、デプロイはしないでください。

このプロジェクトは org.apache.logging.log4j:log4j-core:2.14.1 を固定しています。LoginAuditService.recordLoginAttempt は、認証されていない HTTP User-Agent の値を Log4j のメッセージパラメータに送信します。これが CVE-2021-44228 で説明されている、攻撃者が制御するメッセージの条件です。

期待される検出結果:

パッケージの適用可否: 影響あり;
コードへの影響: LoginAuditService.java は単なるインポートではなく、影響を受けるものとして分類されるべきです;
重大度: クリティカル (NVD CVSS 3.1 スコア 10.0);
恒久的な修復: Log4j をアップグレードし、アーティファクトを再ビルド/再デプロイする;
ソース/制御の代替策: 脆弱なログ出力経路から攻撃者が制御する値を除去する;
一時的な構成による緩和策: 文書化された制御を正確な Log4j/JVM の組み合わせがサポートする場合に限り、残存リスクとアップグレードのフォローアップを伴う;
デプロイのガイダンス: コンテナ、Kubernetes、ベアメタルホスト向けに個別の条件付きアドバイスを提供し、SELinux の強制を無効化するアドバイスではなく SELinux の検証を含める。

ShieldOps リポジトリのルートからインポート:

uv run shieldops create-case "Log4Shell direct impact demo"
uv run shieldops intake --case <case-id> --input hack/log4shell-direct-impact/intake.json
uv run shieldops cases
uv run shieldops investigate --case <case-id> \
  --finding 'CVE-2021-44228:maven:org.apache.logging.log4j:log4j-core:2.14.1'

信頼できる記録:

log4shell-CVE-2021-44228

人気