log4j-remediation-tools

log4j2 취약점 CVE-2021-44228을 찾고 재현하기 위한 도구

도구

• find-vulnerabilities: 실행 중인 JVM이 취약한지 휴리스틱하게 판단합니다.
• confirm-vulnerabilities: 실행 중인 JVM이 취약한지 100% 정확도로 판단합니다.

사용법

이 두 도구는 머신에서 실행 중인 모든 JVM 프로세스를 스캔하고, 취약할 수 있거나 취약한 프로세스에 대한 CSV 보고서를 생성합니다.

사용 세부 정보는 find-vulnerabilities/ 및 confirm-vulnerabilities/의 해당 README를 확인하세요.

어떤 도구를 사용해야 하나요?

사용 사례에 적합한 도구를 결정하는 데 도움이 되는 몇 가지 트레이드오프는 다음과 같습니다:

find-vulnerabilities는 실행 위험이 낮지만, 다음을 놓칠 가능성이 있습니다:

• CLI에서 시스템 속성이 설정되지 않은 경우 (예: 런타임)
• JVM이 jar의 파일 디스크립터를 닫은 경우
• 비표준/패치된 log4j2 릴리스

confirm-vulnerabilities는 JVM Attach API를 사용하며, 다음 사항이 있습니다:

• 애플리케이션이 이 API를 명시적으로 비활성화하면 작동하지 않을 수 있음
• JVM 버그로 인해 실행 중인 JVM이 충돌할 수 있음
• JVM 일시 중지를 기다리는 동안 실행 중인 JVM이 일시적으로 느려질 수 있음

기여

이 프로젝트는 피드백과 기여를 환영합니다. 다만, 요청에 대한 응답이나 분류가 느릴 수 있습니다. 양해 부탁드립니다.

라이선스

이 프로젝트는 MIT 라이선스를 사용합니다.

행동 강령

이 프로젝트는 Stripe의 행동 강령을 채택했습니다.