certcc/cve-2021-44228_scannerJAR 파일에서 CVE-2021-44228에 취약할 수 있는 파일을 검사하는 스캐너
log4j CVE-2021-44228 취약점에 영향을 받는 애플리케이션은 jar, war, ear 파일을 스캔하여 JndiLookup.class의 존재 여부를 검색함으로써 탐지할 수 있습니다.
조사 중인 플랫폼에 따라 PowerShell 또는 Python3 스크립트를 실행하는 것이 더 적합할 수 있습니다. 두 경우 모두 선택적 인수는 검색을 시작할 최상위 디렉터리입니다.
발견된 모든 파일은 이를 사용하는 애플리케이션이 취약한지 확인하기 위해 조사할 가치가 있습니다. JndiLookup.class가 존재하는 경우, log4j는 일반적으로 jar 파일 이름에 버전을 포함합니다. 예를 들어, log4j-core-2.14.1.jar에서 발견되면 취약한 애플리케이션을 나타냅니다. 반면 log4j-core-2.16.jar에서도 발견될 수 있는데, 이는 2.16 버전의 log4j에 JndiLookup 코드가 여전히 존재하지만 기본적으로 비활성화되어 있기 때문입니다. 자세한 내용은 VU#930724를 참조하십시오.
예를 들어, 다음은 PowerShell 버전 스캐너의 실행 예시입니다:
마찬가지로, 다음은 Python3 버전의 실행 예시입니다:
마지막으로, 다음은 Bash 버전의 실행 예시입니다:
Bash 및 Python 버전의 스크립트는 설계상 단일 파일 시스템으로 스캔을 제한합니다. PowerShell 버전의 경우 스캔할 위치를 파이프로 전달하여 검사할 대상을 제어할 수 있습니다. 예를 들어, paths.txt 파일에 포함된 경로 목록을 스캔하려면 다음과 같이 합니다:
get-content .\paths.txt | .\checkjndi.ps1
Windows 스캔 실행에서 첫 번째 적중 결과를 살펴보겠습니다:
WARNING: C:\tmp\2.15\log4j-core-2.15.0.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class
jar 이름을 보면 이는 log4j 2.15 라이브러리입니다. 이 버전의 log4j는 CVE-2021-44228을 수정했지만, 여전히 CVE-2021-45046으로 명시된 결함이 존재합니다. CVE-2021-45046의 영향은 log4j 2.15를 사용하는 특정 Java 애플리케이션에 대한 서비스 거부(DoS)입니다. 2.15 이전 버전의 log4j를 사용하면서 CVE-2021-45046의 전제 조건을 충족하는 Java 애플리케이션의 경우 영향은 원격 코드 실행(RCE)입니다.
두 번째 적중 결과를 살펴보겠습니다:
C:\tmp\2.16\log4j-core-2.16.0.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class ** BUT APPEARS TO BE PATCHED **
이 jar 파일은 CVE-2021-44228에 취약하지 않은 log4j 2.16 버전을 포함합니다. 이 결과는 정보 제공 목적으로 보고되며, 공급업체가 제품에 패치를 적용했음을 나타냅니다.
세 번째 적중 결과를 살펴보겠습니다:
WARNING: C:\tmp\ghidra_10.0_PUBLIC\Ghidra\Framework\Generic\lib\log4j-core-2.12.1.jar contains org/apache/logging/log4j/core/lookup/JndiLookup.class
여기서 Ghidra가 log4j 버전 2.12.1을 사용하고 있음을 알 수 있으며, 따라서 취약하다고 가정해야 합니다. 실제로 Ghidra 10.1 이전 버전은 CVE-2021-44228에 취약합니다.
이 스크립트 중 하나에서 보고된 모든 적중 결과를 조사하여 log4j 버전이 실제로 수정된 2.16 버전인지 확인하거나, 소프트웨어 공급업체에 연락하여 수정된 버전을 받아야 합니다. 또는 VU#930724에는 취약한 jar 파일에서 JndiLookup.class를 제거하는 방법에 대한 정보가 있습니다.
PowerShell 버전의 스캐너는 파일 또는 디렉터리를 조사할 수 없을 때 추가 오류 보고를 제공합니다. 특히 Unable to scan 오류 중 UnauthorizedAccessException이 보고되면 디렉터리 및/또는 파일에 접근할 때 권한 문제가 있음을 나타냅니다. Unable to scan 오류 중 InvalidDataException이 보고되는 경우는 일반적으로 손상된 아카이브 때문입니다.