LinuxサーバーがLog4jに対して脆弱かどうかをテストする方法
Log4jは深刻な脆弱性であり、IT環境全体に急速に浸透しています。これは、脆弱なパッケージがインストールされているかどうかをテストおよび確認するために実行できる単一のコマンドです。
“href =” https://www.techrepublic.com/a/hub/i/r/2021/09/15/ b6bd04df-c7cf-4757-a851-34621e69ed74/ resize /770x / d89db58944c1a9945f03078cee6c71d3 / Shutterstock-402307621。jpg ” target = “_ blank”> 画像：Shutterstock / LeoWolfert
Log4jの脆弱性は深刻なビジネスです。このゼロデイの欠陥はLog4jライブラリに影響を及ぼし、攻撃者がLog4jに依存するシステムで任意のコードを実行してログメッセージを書き込む可能性があります。
見る： 40+知っておく必要のあるオープンソースおよびLinuxの用語(TechRepublic Premium)
この脆弱性のCVSSスコアはが最も高くなります。 。0なので、注意が必要です。大きな問題の1つは、脆弱かどうかを知ることです。これは、Log4jをデプロイできる多くの方法によって複雑になります。これをJavaプロジェクトの一部として使用していますか、コンテナーにロールインされていますか、配布パッケージマネージャーを使用してインストールしましたか？(ある場合)どのlog4jパッケージをインストールしましたか？または、ソースからインストールしましたか？このため、サーバーが脆弱かどうかさえわからない場合があります。
幸い、Linuxサーバーの場合、GitHubユーザー、Rubo77脆弱なLog4jインスタンスを含むパッケージをチェックするスクリプトを作成しました。ベータ版であり、1つではありません100％ですが、開始するのに最適な場所です。このスクリプトは、アプリケーションにパッケージ化されたjarファイルをテストしないため、フォレンジックを開始するための開始点にすぎないと考えてください。
脆弱なLog4jパッケージがインストールされていることがわかっているサーバーに対してこのスクリプトをテストし、正しくタグ付けしました。 Linuxサーバーで同じスクリプトを実行して、脆弱性があるかどうかを確認する方法は次のとおりです。サーバーにログインして、次のコマンドを発行します：
wget https://raw.githubusercontent.com/rubo77/ log4j_checker_beta / main /log4j_checker_beta.sh -q -O- | bash
コマンドの出力は、サーバーが脆弱であるかどうかを示します。ご覧のとおり(図A)、私のインスタンスにはliblog4j2-javaバージョン2が含まれています。11。2-1、これには脆弱性が含まれます。その場合は、すぐに2にアップグレードする必要があります。15。0。利用できない場合は、パッケージにパッチが適用されるまで問題が解決しません。
図A
“href =” https://www.techrepublic.com/a/hub/i/r/2021/12/14/003e874b-08e9- 48a6-b4ae-203b7f7f3442/ resize /770バツ/124ec311defaec24878d6ece5940365a / log4jb.jpg “target =” _ blank “> 私のテストサーバーはLog4jの問題に対して脆弱です。
このスクリプトは保証ではありませんが、開始するのに適した場所であることを忘れないでください。サーバーに脆弱性がないと言われたとしても、この脆弱性に見舞われないように、必要なすべてのパッケージを更新したことを確認してください。
TechRepublicのYouTubeでTechを機能させる方法を購読するジャックウォレンからのビジネスプロのためのすべての最新の技術アドバイスのために。
Cybersecurity Insider Newsletter
最新のサイバーセキュリティニュース、ソリューション、およびベストプラクティスに遅れないようにすることで、組織のITセキュリティ防御を強化します。火曜日と木曜日に配信
今日サインアップする
