Log4Shell 直接影响测试夹具

故意存在漏洞、不可部署的 Java/Maven 输入，用于 ShieldOps。请勿构建、执行或部署它。

该项目固定使用 org.apache.logging.log4j:log4j-core:2.14.1。LoginAuditService.recordLoginAttempt 将未经身份验证的 HTTP User-Agent 值传入 Log4j 消息参数。这就是 CVE-2021-44228 所描述的由攻击者控制消息的条件。

预期发现：

包适用性：受影响；
代码影响：LoginAuditService.java 应被归类为受影响，而不仅仅是导入；
严重性：严重（NVD CVSS 3.1 评分 10.0）；
持久修复：升级 Log4j 并重新构建/重新部署该构件；
源/控制替代方案：从易受攻击的日志记录路径中移除由攻击者控制的值；
临时配置缓解：仅当确切的 Log4j/JVM 组合支持文档化控制时，并附带残余风险和升级后续行动；
部署指南：针对容器、Kubernetes 和裸金属主机分别提供条件性建议，包括 SELinux 验证，而不是建议禁用强制执行。

从 ShieldOps 仓库根目录导入：

uv run shieldops create-case "Log4Shell direct impact demo"
uv run shieldops intake --case <case-id> --input hack/log4shell-direct-impact/intake.json
uv run shieldops cases
uv run shieldops investigate --case <case-id> \
  --finding 'CVE-2021-44228:maven:org.apache.logging.log4j:log4j-core:2.14.1'

权威记录：

log4shell-CVE-2021-44228

最受欢迎