log4j-vuln-demo

Преднамеренно уязвимый демонстрационный образ для тестирования сканирования и устранения уязвимостей в Sysdig CNAPP.

Содержит Log4j 2.14.1 — уязвимый к CVE-2021-44228 (Log4Shell, CVSS 10.0 Критический).

Назначение

Этот репозиторий существует для демонстрации сквозного рабочего процесса Sysdig CNAPP:

1. /sysdig-investigate — выявляет уязвимый образ и ранжирует его для устранения
2. /sysdig-remediate — подбирает безопасную исправленную версию (2.15.0+) и открывает PR

Исправление

Обновите log4j-core и log4j-api до версии 2.17.1 или новее в pom.xml.

Образ

Используйте подходящий номер версии, чтобы затем можно было обновить её до 1.0.1 или аналогичной

ghcr.io/aaronm-sysdig/log4j-vuln-demo:1.0.0