Роль Ansible для устранения уязвимости Log4Shell CVE-2021-44228

Эта роль Ansible развертывает скрипт на Python для программного устранения уязвимости Log4Shell (CVE-2021-44228) путем удаления уязвимого класса JndiLookup из затронутых JAR-файлов Log4j.

Она предназначена для запуска через Ansible, но вы также можете выполнить скрипт вручную, если захотите.

Подробнее об уязвимости Log4Shell:

• Википедия
• NVD CVE-2021-44228
• Наша ветка Twitter

Возможности

• Ищет JAR-файлы Log4j в указанных каталогах приложений
• Проверяет наличие JndiLookup.class
• Создает резервную копию оригинального JAR перед изменением
• Удаляет JndiLookup.class из JAR
• Записывает все действия в файл журнала
• Настраивается через YAML-файл
• Упакована как роль Ansible для автоматического развертывания на нескольких системах

Требования

• Python 3.6+
• zip и zipinfo установлены на целевых системах
• PyYAML установлен на целевых системах (pip install pyyaml)

Конфигурация

Скрипт настраивается через YAML-файл, шаблонизируемый автоматически ролью.

Пример config.yaml:

app_directories:
  - /opt/apps
backup_directory: /opt/backups
log_file: /var/log/log4j_mitigation.log

• app_directories: список каталогов для сканирования JAR-файлов
• backup_directory: каталог для хранения резервных копий оригинальных JAR
• log_file: путь к файлу журнала для отслеживания операций

Использование в качестве роли Ansible

Добавьте эту роль в ваш плейбук:

- name: Mitigate Log4Shell CVE-2021-44228
  hosts: all
  become: true
  roles:
    - log4shell_mitigation

Использование напрямую

Если вы хотите выполнить скрипт вручную, вы можете это сделать:

1. Скопируйте скрипт на целевую машину:

   root@kitploit:~

   files/log4shell_mitigator.py
   

2. Создайте свой собственный config.yaml в той же директории.

3. Запустите его:

   root@kitploit:~

   python3 log4shell_mitigator.py
   

Проверка

• Проверьте настроенный файл журнала (по умолчанию: /var/log/log4j_mitigation.log), чтобы увидеть, какие JAR были исправлены
• Убедитесь, что ваши приложения все еще корректно запускаются после удаления класса
• В идеале протестируйте в тестовой среде перед развертыванием в производство

Примечания

• Этот подход не обновляет Log4j, а удаляет уязвимый класс, чтобы заблокировать путь эксплуатации
• Вам все равно следует обновить Log4j в качестве долгосрочного исправления
• Всегда тщательно тестируйте перед масштабным развертыванием

Лицензия

MIT

Участие в разработке

Приветствуются пул-реквесты и улучшения -> пожалуйста, сделайте форк и отправьте запрос на слияние.

Отказ от ответственности

Данное программное обеспечение и сопровождающая роль Ansible предоставляются «как есть» и без каких-либо гарантий, явных или подразумеваемых. Вы несете исключительную ответственность за оценку и тестирование пригодности, безопасности и эффективности этого кода перед его применением в любой среде. AxisOps Ltd (GB08681761) категорически отказывается от любой ответственности за ущерб, потерю данных, прерывание работы или другой вред, возникший в результате использования или неправильного использования этого кода.

Используйте на свой страх и риск. Всегда проверяйте, тестируйте и подтверждайте код в контролируемой среде перед развертыванием в производство.

Команда SysOps @ AxisOps