log4j-remediation-tools

Ferramentas para encontrar e reproduzir a vulnerabilidade CVE-2021-44228 do log4j2

Ferramentas

• find-vulnerabilities: determina heuristicamente se uma JVM em execução é vulnerável
• confirm-vulnerabilities: determina com 100% de precisão se uma JVM em execução é vulnerável

Uso

Ambas as ferramentas escaneiam todos os processos JVM em execução em uma máquina e produzem um relatório CSV sobre quais processos podem ser / são vulneráveis.

Consulte os READMEs correspondentes de find-vulnerabilities/ e confirm-vulnerabilities/ para detalhes de uso.

Qual ferramenta devo usar?

Aqui estão algumas compensações para ajudá-lo a determinar qual ferramenta é adequada para o seu caso de uso:

find-vulnerabilities tem baixo risco de execução, mas pode deixar de detectar:

• Casos onde uma propriedade de sistema não está definida na CLI, por exemplo, em tempo de execução
• Casos onde a JVM fechou o descritor de arquivo para o jar
• Versões não padronizadas / corrigidas do log4j2

confirm-vulnerabilities usa a JVM Attach API, que:

• Pode não funcionar se uma aplicação desabilitar explicitamente essa API
• Pode travar a JVM em execução devido a bugs da JVM
• Pode brevemente desacelerar a JVM em execução enquanto aguarda a pausa da JVM

Contribuindo

Este projeto acolhe feedback e contribuições; no entanto, podemos ser lentos para responder ou triar suas solicitações. Agradecemos sua paciência.

Licença

Este projeto usa a licença MIT.

Código de conduta

Este projeto adotou o Código de conduta da Stripe.