Role Ansible de Mitigação do Log4Shell CVE-2021-44228

Este role Ansible implanta um script baseado em Python para mitigar programaticamente a vulnerabilidade Log4Shell (CVE-2021-44228) removendo a classe vulnerável JndiLookup dos arquivos JAR do Log4j afetados.

Ele foi projetado para ser executado via Ansible, mas você também pode executar o script manualmente, se desejar.

Leia mais sobre a vulnerabilidade Log4Shell aqui:

• Wikipedia
• NVD CVE-2021-44228
• Nosso tópico no Twitter

Funcionalidades

• Pesquisa por JARs do Log4j nos diretórios de aplicação especificados
• Verifica se JndiLookup.class está presente
• Faz backup do JAR original antes da modificação
• Remove JndiLookup.class do JAR
• Escreve todas as ações em um arquivo de log
• Configurável via um arquivo YAML
• Empacotado como um role Ansible para implantação automatizada em vários sistemas

Requisitos

• Python 3.6+
• zip e zipinfo instalados nos sistemas de destino
• PyYAML instalado nos sistemas de destino (pip install pyyaml)

Configuração

O script é configurado via um arquivo YAML, modelado automaticamente pelo role.

Exemplo config.yaml:

app_directories:
  - /opt/apps
backup_directory: /opt/backups
log_file: /var/log/log4j_mitigation.log

• app_directories: lista de diretórios para escanear em busca de arquivos JAR
• backup_directory: onde armazenar os backups dos JARs originais
• log_file: caminho para um arquivo de log para rastreamento de operações

Uso como um Role Ansible

Adicione este role ao seu playbook:

- name: Mitigate Log4Shell CVE-2021-44228
  hosts: all
  become: true
  roles:
    - log4shell_mitigation

Uso Direto

Se desejar executar o script manualmente, você pode fazer o seguinte:

1. Copie o script para sua máquina de destino:

   root@kitploit:~

   files/log4shell_mitigator.py
   

2. Crie seu próprio config.yaml no mesmo diretório.

3. Execute:

   root@kitploit:~

   python3 log4shell_mitigator.py
   

Validação

• Verifique o arquivo de log configurado (padrão: /var/log/log4j_mitigation.log) para ver quais JARs foram corrigidos
• Confirme que suas aplicações ainda iniciam corretamente após a remoção da classe
• Idealmente, teste em um ambiente de homologação antes da implantação em produção

Notas

• Esta abordagem não atualiza o Log4j, mas remove a classe vulnerável para bloquear o caminho do exploit
• Você ainda deve atualizar o Log4j como uma correção de longo prazo
• Sempre teste minuciosamente antes de implementar amplamente

Licença

MIT

Contribuindo

PRs e melhorias são bem-vindos -> por favor, faça um fork e envie uma solicitação de merge.

Aviso Legal

Este software e o role Ansible acompanhante são fornecidos “como estão” e sem garantias de qualquer tipo, expressas ou implícitas. Você é o único responsável por avaliar e testar a adequação, segurança e eficácia deste código antes de aplicá-lo a qualquer ambiente. A AxisOps Ltd (GB08681761) isenta-se expressamente de qualquer responsabilidade por danos, perda de dados, interrupção de serviço ou outros danos resultantes do uso ou uso indevido deste código.

Use por sua conta e risco. Sempre audite, teste e valide o código em um ambiente controlado antes da implantação em produção.

Equipe SysOps @ AxisOps