dtact/divd-2021-00038--log4j-scannerРекурсивный сканер уязвимостей для Log4j CVE в архивах и Docker-образах. Обнаруживает JndiLookup.class и уязвимые версии через хэши SHA256, с возможностью патчинга для удаления класса эксплойта.
Этот сканер рекурсивно сканирует пути, включая архивы, на наличие уязвимых версий log4j и файлов org/apache/logging/log4j/core/lookup/JndiLookup.class.
В настоящее время белый список определяет неэксплуатируемые версии, в данном случае log4j-core 2.17.0 и 2.12.3.
| CVE | Ссылки |
|---|
| CVE-2021-44228 | https://www.cve.org/CVERecord?id=CVE-2021-44228 |
| CVE-2021-45046 | https://www.cve.org/CVERecord?id=CVE-2021-45046 |
| CVE-2021-45105 | https://www.cve.org/CVERecord?id=CVE-2021-45105 |
| CVE-2021-44832 | https://www.cve.org/CVERecord?id=CVE-2021-44832 |
$ divd-2021-00038--log4j-scanner.exe {target-path}
$ divd-2021-00038--log4j-scanner {target-path}
С помощью этого инструмента теперь можно также сканировать контейнеры:
$ ./divd-2021-00038--log4j-scanner scan-image logstash:7.16.1
или локальные образы:
$ ./divd-2021-00038--log4j-scanner scan-image --local {sha256|pattern}
$ ./divd-2021-00038--log4j-scanner scan-image --local log4shell:latest
$ ./divd-2021-00038--log4j-scanner scan-image --local 4949add9e671
# сканировать все локальные образы
$ ./divd-2021-00038--log4j-scanner scan-image --local
Вы также можете исправить образ:
$ docker save log4shell > ./log4shell-image.tar
$ ./divd-2021-00038--log4j-scanner ./log4shell-image.tar
$ ./divd-2021-00038--log4j-scanner patch ./log4shell-image.tar
$ cat ./log4shell-image.tar.patch | docker load
Сравнение обоих tar-архивов покажет следующие различия:
Binary files ../2/BOOT-INF/lib/log4j-core-2.14.1.jar and ./BOOT-INF/lib/log4j-core-2.14.1.jar differ
Binary files ../2/app/spring-boot-application.jar and ./app/spring-boot-application.jar differ
Binary files ../2/b0d66ac73d47865118cfb9a1244f1508d94ea938da1eb78c2db20bd2e1a6629a/layer.tar and ./b0d66ac73d47865118cfb9a1244f1508d94ea938da1eb78c2db20bd2e1a6629a/layer.tar differ
Only in ./org/apache/logging/log4j/core/lookup: JndiLookup.class
Мы добавили предварительную поддержку рекурсивного исправления файлов. Это очень экспериментально, будьте осторожны с этой функцией. В настоящее время исправление работает только с архивными файлами (jar/tar). Исправление создаст новый файл .patch, который нужно заменить на оригинальный. Намеренно это ручной процесс, так как он должен быть синхронизирован с перезапуском служб. Убедитесь, что вы создали резервную копию оригинального файла перед заменой. После исправления вы можете снова просканировать, чтобы убедиться, что не пропустили никакие файлы. В настоящее время обычные .class файлы в папках не будут исправлены, так как их можно безопасно удалить вручную.
Файл .patch будет точно таким же, как и оригинальный файл, но без JndiLookup.class. Этого должно быть достаточно для устранения этой проблемы, пока вы ждёте обновлений. Убедитесь, что вы создали резервные копии и тщательно протестировали.
Исправление откажется работать с папками в качестве меры предосторожности. Просто укажите исправление на уязвимый архив.
$ divd-2021-00038--log4j-scanner.exe patch {target-path}
divd-2021-00038--log4j-scanner patch {target-path}
Требования:
$ git clone "https://github.com/dtact/divd-2021-00038--log4j-scanner.git"
$ go build -o ./.builds/divd-2021-00038--log4j-scanner ./main.go
Исходный код и документация защищены авторским правом 2021 Remco Verhoef (DTACT).
Код выпущен под лицензией MIT.