Log4Shell CVE-2021-44228 缓解 Ansible 角色

该 Ansible 角色部署了一个基于 Python 的脚本，通过从受影响的 Log4j JAR 文件中移除存在漏洞的 JndiLookup 类，以编程方式缓解 Log4Shell 漏洞（CVE-2021-44228）。

它设计为通过 Ansible 运行，但如果您愿意，也可以手动执行该脚本。

在此处阅读有关 Log4Shell 漏洞的更多信息：

• 维基百科
• NVD CVE-2021-44228
• 我们的 Twitter 帖子

功能

• 在指定的应用程序目录中搜索 Log4j JAR 文件
• 验证是否存在 JndiLookup.class
• 在修改前备份原始 JAR 文件
• 从 JAR 中移除 JndiLookup.class
• 将所有操作写入日志文件
• 可通过 YAML 文件进行配置
• 打包为 Ansible 角色，可在多台系统上自动部署

要求

• Python 3.6+
• 目标系统上安装了 zip 和 zipinfo
• 目标系统上安装了 PyYAML（pip install pyyaml）

配置

该脚本通过一个 YAML 文件进行配置，该文件由角色自动模板化生成。

config.yaml 示例：

app_directories:
  - /opt/apps
backup_directory: /opt/backups
log_file: /var/log/log4j_mitigation.log

• app_directories：要扫描 JAR 文件的目录列表
• backup_directory：用于存储原始 JAR 备份的位置
• log_file：用于操作跟踪的日志文件路径

作为 Ansible 角色使用

将此角色添加到您的 playbook 中：

- name: Mitigate Log4Shell CVE-2021-44228
  hosts: all
  become: true
  roles:
    - log4shell_mitigation

直接使用

如果您希望手动运行该脚本，可以按以下步骤操作：

1. 将脚本复制到您的目标机器：

   root@kitploit:~

   files/log4shell_mitigator.py
   

2. 在同一目录中创建您自己的 config.yaml。

3. 运行它：

   root@kitploit:~

   python3 log4shell_mitigator.py
   

验证

• 检查配置的日志文件（默认：/var/log/log4j_mitigation.log），查看哪些 JAR 已被修补
• 确认移除该类后您的应用程序仍能正常启动
• 理想情况下，在投入生产环境前先在预发布环境中进行测试

说明

• 此方法不会升级 Log4j，而是移除存在漏洞的类以阻断利用路径
• 您仍应升级 Log4j 作为长期修复方案
• 在广泛部署前务必进行充分测试

许可证

MIT

贡献

欢迎提交 PR 和改进 -> 请 fork 并提交合并请求。

免责声明

本软件及随附的 Ansible 角色按**“原样”**提供，不附带任何明示或暗示的担保。您全权负责在将本代码应用于任何环境之前评估和测试其适用性、安全性和有效性。AxisOps Ltd (GB08681761) 明确不承担因使用或误用本代码而导致的损害、数据丢失、服务中断或其他伤害的任何责任。

使用风险自负。在部署到生产环境之前，请务必在受控环境中审计、测试和验证代码。

SysOps 团队 @ AxisOps