如何检查geoserver中的log4j漏洞？

Question

我正在尝试检查 GeoServer 中的 log4j 漏洞，在将旧 log4j 包更新为解决问题的新包之前和之后。为此，我使用 Zap 工具来检查漏洞，在那里我发现了主动扫描规则 alpha。此规则尝试发现 Log4Shell (CVE-2021-44228) 漏洞。查看此链接以获取更多信息https://www.zaproxy.org/docs/desktop/addons/active-scan-rules-alpha/。 而且我对如何执行这个主动扫描规则阿尔法有点困惑。请分享一些有关其执行的信息。 我的问题是这是否是检查 GeoServer 中这个 log4j 漏洞的正确方法？或者还有其他方法吗？

Answer 1

您需要先启用 OAST 服务（通过选项/OAST）。 您可以使用我们预先配置的公共实例之一，也可以建立您自己的实例。 我们还建议您扫描标头，因为此漏洞通常会被它们暴露。

有关更多详细信息，请参阅此博客文章 :) https://www.zaproxy.org/blog/2021-12-14-log4shell-detection-with-zap/