dtact/divd-2021-00038--log4j-scanner아카이브 및 Docker 이미지에서 Log4j CVE를 재귀적으로 스캔하는 취약점 스캐너입니다. SHA256 해시를 통해 JndiLookup.class와 취약한 버전을 탐지하며, 악용 클래스를 제거하는 선택적 패치를 지원합니다.
이 스캐너는 취약한 log4j 버전과 org/apache/logging/log4j/core/lookup/JndiLookup.class 파일을 찾기 위해 아카이브를 포함한 경로를 재귀적으로 스캔합니다.
현재 허용 목록은 악용할 수 없는 버전을 정의하며, 이 경우 log4j-core 2.17.0 및 2.12.3입니다.
| CVE | 참조 |
|---|
| CVE-2021-44228 | https://www.cve.org/CVERecord?id=CVE-2021-44228 |
| CVE-2021-45046 | https://www.cve.org/CVERecord?id=CVE-2021-45046 |
| CVE-2021-45105 | https://www.cve.org/CVERecord?id=CVE-2021-45105 |
| CVE-2021-44832 | https://www.cve.org/CVERecord?id=CVE-2021-44832 |
$ divd-2021-00038--log4j-scanner.exe {target-path}
$ divd-2021-00038--log4j-scanner {target-path}
이 도구를 사용하면 이제 컨테이너도 스캔할 수 있습니다:
$ ./divd-2021-00038--log4j-scanner scan-image logstash:7.16.1
또는 로컬 이미지:
$ ./divd-2021-00038--log4j-scanner scan-image --local {sha256|pattern}
$ ./divd-2021-00038--log4j-scanner scan-image --local log4shell:latest
$ ./divd-2021-00038--log4j-scanner scan-image --local 4949add9e671
# scan all local images
$ ./divd-2021-00038--log4j-scanner scan-image --local
이미지를 패치할 수도 있습니다:
$ docker save log4shell > ./log4shell-image.tar
$ ./divd-2021-00038--log4j-scanner ./log4shell-image.tar
$ ./divd-2021-00038--log4j-scanner patch ./log4shell-image.tar
$ cat ./log4shell-image.tar.patch | docker load
두 tar 파일을 비교하면 다음과 같은 차이가 있습니다:
Binary files ../2/BOOT-INF/lib/log4j-core-2.14.1.jar and ./BOOT-INF/lib/log4j-core-2.14.1.jar differ
Binary files ../2/app/spring-boot-application.jar and ./app/spring-boot-application.jar differ
Binary files ../2/b0d66ac73d47865118cfb9a1244f1508d94ea938da1eb78c2db20bd2e1a6629a/layer.tar and ./b0d66ac73d47865118cfb9a1244f1508d94ea938da1eb78c2db20bd2e1a6629a/layer.tar differ
Only in ./org/apache/logging/log4j/core/lookup: JndiLookup.class
파일을 재귀적으로 패치하는 예비 지원을 추가했습니다. 이 기능은 매우 실험적이므로 주의해서 사용하세요. 현재 패칭은 아카이브(jar/tar) 파일에서만 작동합니다. 패치를 적용하면 원본 파일을 대체해야 하는 새 `.patch`` 파일이 생성됩니다. 이는 의도적으로 수동 프로세스로, 서비스 재시작 시점에 맞춰야 합니다. 원본 파일을 교체하기 전에 반드시 백업을 만드세요. 패치 후 다시 스캔하여 놓친 파일이 없는지 확인할 수 있습니다. 현재 폴더에 있는 일반 .class 파일은 수동으로 안전하게 제거할 수 있으므로 패치되지 않습니다.
.patch`` 파일은 JndiLookup.class`가 없다는 점을 제외하면 원본 파일과 완전히 동일합니다. 업그레이드를 기다리는 동안 이 문제를 완화하기에 충분합니다. 반드시 백업을 만들고 철저히 테스트하세요.
예방 조치로 패치는 폴더에서 실행을 거부합니다. 취약한 아카이브를 패치 대상으로 지정하기만 하면 됩니다.
$ divd-2021-00038--log4j-scanner.exe patch {target-path}
divd-2021-00038--log4j-scanner patch {target-path}
요구 사항:
$ git clone "https://github.com/dtact/divd-2021-00038--log4j-scanner.git"
$ go build -o ./.builds/divd-2021-00038--log4j-scanner ./main.go
코드와 문서의 저작권은 2021 Remco Verhoef (DTACT)에 있습니다.
코드는 MIT 라이선스로 배포됩니다.