log4j-remediation-tools

Инструменты для поиска и воспроизведения уязвимости log4j2 CVE-2021-44228

Инструменты

• find-vulnerabilities: эвристически определяет, уязвима ли запущенная JVM
• confirm-vulnerabilities: со 100% точностью определяет, уязвима ли запущенная JVM

Использование

Оба инструмента сканируют все запущенные JVM-процессы на машине и создают CSV-отчёт о том, какие процессы могут быть / являются уязвимыми.

Подробности использования приведены в соответствующих README для find-vulnerabilities/ и confirm-vulnerabilities/.

Какой инструмент мне использовать?

Вот несколько компромиссных соображений, которые помогут вам решить, какой инструмент подходит для вашего случая:

find-vulnerabilities запускать нерискованно, но он может не обнаружить следующие случаи:

• Случаи, когда системное свойство не задано в командной строке, например во время выполнения
• Случаи, когда JVM закрыла файловый дескриптор jar-файла
• Нестандартные / пропатченные выпуски log4j2

confirm-vulnerabilities использует JVM Attach API, который:

• Может не работать, если приложение явно отключает этот API
• Может привести к сбою запущенной JVM из-за ошибок в JVM
• Может временно замедлить работу запущенной JVM при ожидании паузы JVM

Участие

Этот проект приветствует обратную связь и вклад; однако мы можем медленно отвечать на ваши запросы или обрабатывать их. Мы ценим ваше терпение.

Лицензия

Этот проект использует лицензию MIT.

Кодекс поведения

Этот проект принял Кодекс поведения Stripe.