Log4j2 취약점 로컬 스캐너 (CVE-2021-45046)

Log4j 취약점 로컬 탐지 스크립트입니다. 호스트의 모든 Java 프로세스를 스캔하여 취약한 log4j-core jar 패키지가 도입되었는지, 원격 코드 실행 공격(CVE-2021-45046)에 노출될 가능성이 있는지 확인한 후 스캔 보고서를 지정된 서버에 업로드합니다.

호스트의 모든 Java 프로세스를 스캔하여 log4j2 원격 코드 실행(CVE-2021-45046)의 영향을 받는지 확인한 후 보고서를 API 서버에 업로드합니다.

python2.7 / 2.6 / 3.x에서 작동하며, 추가 라이브러리가 필요하지 않습니다.

변경 로그

• 2021-12-22 log4j-core/pom.properties 버전 감지 추가

스캔 로직

1. 호스트의 java 프로세스 탐색
2. java 프로세스가 열고 있는 jar 파일 탐색
3. log4j-core-* jar 패키지 검색
4. 다른 jar 파일을 재귀적으로 압축 해제하여 log4j-core-* jar 패키지 검색
5. log4j-core jar 패키지에서 JndiLookup.class 검색
6. JndiLookup.class를 찾은 후, 해당 버전, jvm 매개변수, OS 환경 변수, Docker 컨테이너 프로세스 여부, k8s 프로세스에 따라 취약점 존재 여부를 출력하고 업그레이드 안내를 출력
7. 스캔 결과를 지정된 서버에 업로드

작동 방식

• 호스트의 모든 java 프로세스 찾기
• java 프로세스가 열고 있는 모든 jar 파일 찾기
• log4j-core-*.jar 검색
• 다른 jar 파일을 재귀적으로 압축 해제하여 log4j-core-*.jar 검색
• log4j-core-*.jar에서 JndiLookup.class 검색
• JndiLookup.class를 찾으면 해당 버전, jvm 인자, OS 환경 인자, Docker 컨테이너 여부, k8s 여부에 따라 일부 팁을 출력
• 전체 보고서를 API 서버에 업로드

안정성 메커니즘

• 재귀: jar 패키지를 재귀적으로 압축 해제하며, 최대 5단계를 초과하지 않음
• 메모리: 압축 해제할 때마다 자체 메모리 사용량을 확인하며, 최대 300MB를 초과하지 않음. 초과 시 스캔을 건너뛰고 부분 결과 및 메모리 오류를 보고
• 네트워크: 스캔 종료 후 0~10초 사이의 랜덤 sleep. 1만 대의 호스트를 가정할 경우 초당 약 1000대의 서버만 보고

대량 스캔

Agent에 통합하거나 이 스크립트를 일회성 실행으로 전달할 수 있습니다. 또한 운영 서버에 로그인하여 원클릭으로 전체 네트워크 스캔이 가능합니다.

You can use the script as a module by your agent, or deliver and run it only once.

Those who don't have an easy to use agent can run command below on your OPS server.

cat hosts.txt|xargs -P 5 -I{} sh -c 'ssh root@{} -oStrictHostKeyChecking=no -oUserKnownHostsFile=/dev/null "wget http://your_site/to_download/log4j2_vul_scanner.py -O /tmp/log4j2_vul_scanner.py -q && python /tmp/log4j2_vul_scanner.py && /usr/bin/rm /tmp/log4j2_vul_scanner.py" > ./logs.txt||exit 0'