.. image:: images/Mitiga_logo.png

Introdução

estamos fornecendo às equipes de DevOps e segurança um script para identificar cargas de trabalho em nuvem que podem estar vulneráveis à vulnerabilidade Log4j (log4shell) em suas contas AWS. Atualmente, suportamos as vulnerabilidades de RCE "CVE-2021-44228" e "CVE-2021-45046". O script permite que as equipes de segurança identifiquem ativos AWS voltados para o exterior executando o exploit neles, e assim possam mapeá-los e corrigi-los rapidamente.

Informações Gerais

• Informações sobre CVE-2021-44228: https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• Informações sobre CVE-2021-45046: https://nvd.nist.gov/vuln/detail/CVE-2021-45046
• localização central atualizada que descreve tudo o que você precisa saber sobre Log4Shell: https://www.mitiga.io/blog/log4shell-everything-in-one-place
• Detalhamento do algoritmo: https://www.mitiga.io/blog/log4shell-identify-vulnerable-external-facing-workloads-in-aws-tutorial

Recursos ########

• Escaneia os recursos em todas as regiões
• Escaneia todos os recursos computacionais expostos à internet
• Capacidade de executá-lo com um proxy
• Suporta várias formas de configurar as credenciais AWS usando as variáveis de ambiente conhecidas da AWS: <https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-envvars.html>_

Instalação / Requisitos

• cPython 3.6 ou superior

• instale os pacotes Python necessários: .. code-block:: console

  root@kitploit:~

    pip3 install -r requirements.txt
  

• permissões AWS para escanear os recursos: .. code-block:: json

  { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:DescribeInstances", "ec2:DescribeSecurityGroups", "elasticloadbalancing:DescribeLoadBalancers", "elasticloadbalancing:DescribeListeners", "elasticloadbalancing:DescribeRules", "elasticloadbalancing:DescribeTargetGroupAttributes", "elasticloadbalancing:DescribeTargetGroups", ], "Resource": "*" } ] }

Antes de Executar o Script ######## Você precisa de um servidor que aguarde requisições DNS dos endpoints vulneráveis. Para esta demonstração, estamos usando: interactsh <https://github.com/projectdiscovery/interactsh>, que é uma ferramenta externa. Você pode usar o cliente interactsh ou o aplicativo web Interactsh <https://app.interactsh.com/#/>

Execução

1. Obtenha o endereço de URL para as requisições DNS. Usando o 'interactsh', você pode encontrá-lo no aplicativo cliente aqui: .. image:: images/interactshdomain.png ou usando o aplicativo web: .. image:: images/webinteractsh.png

2. Execute o script main.py com os argumentos:

   • '--dest-domain' - para o servidor que receberá a resposta do endpoint vulnerável
   • '--cve-id' - o CVE a ser verificado (CVE-2021-44228, CVE-2021-45046)
   • (opcional) '--proxies' - Se você executar as requisições a partir de um servidor proxy exemplos: .. code-block:: console

     Checking the oldest CVE(CVE-2021-44228)

     python3 main.py --dest-domain test.interactsh.com

     Checking with CVE-2021-45046

     python3 main.py --dest-domain test.interactsh.com --cve-id=CVE-2021-45046

     Checking the oldest CVE(CVE-2021-44228), using proxies

     python3 main.py --dest-domain test2.interactsh.com --proxies http://127.0.0.1:8080 https://127.0.0.1:8080

Encontrando Endpoints Vulneráveis ######## os endpoints vulneráveis devem enviar requisições DNS para o seu servidor no formato:

• Instâncias EC2: '{instance id}.{destination domain}'. exemplo: i-092ed1f7d1230bb9a.test.interactsh.com
• Balanceadores de carga: '{load balancer name}.{destination domain}'. exemplo: lb-name.test.interactsh.com

exemplo via cli:

.. image:: images/interactshresult.png

exemplo via web:

.. image:: images/webinteractsh_result.png

Isenção de Responsabilidade

Este projeto deve ser usado apenas para fins educacionais. O projeto não substitui um plano de remediação maduro e não fornece cobertura completa para ativos voltados para o exterior ou vulneráveis. A Mitiga não se responsabiliza por qualquer dano causado pelo uso deste projeto.