Cómo saber si tengo Log4j en servidor Linux CentOS, Ubuntu, etc. [RESUELTO]

Una forma rápida de saber si tienes Log4J en un servidor Linux, válida para cualquier distribución, puede ser ejecutando el siguiente comando:

find / -iname "*log4j*.jar"

Que buscará los ficheros con el texto log4j.jar (para cualquier versión) en la unidad que se le indique (en el ejemplo anterior en la unidad raíz /).

Si tenemos Log4j, devolverá algo así:

[root@srvweb ~]# find / -iname «*log4j*.jar»
/root/app/dfc/log4j.jar
/var/wildfly/modules/system/layers/base/es/pa/common/documental/main/log4j-1.2.14.jar
/etc/modules/system/layers/base/jboss/log4j/logmanager/main/log4j-jboss-logmanager-1.1.2.Final.jar

Como vemos, con el nombre del fichero podemos saber la versión de Log4j que use cada aplicativo del servidor.

Lo anterior es un simple ejemplo de salida. Log4j puede estar instalado en varios aplicativos de un mismo servidor. Por ello es conveniente buscarlo como hemos indicado anteriormente.

Hay muchos y muy variados que usan esta herramienta, o que no la usan pero la tienen instalada.

Cocidos fabricantes como Oracle, VMware, NetApp y muchos otros usan Log4j en algunos de sus productos.

Y, por supuesto, empresas de desarrollo de software para uso privado.

Lo importante para evitar que exploten esta vulnerabilidad de Log4j son los servicios que tengan acceso externo (a Internet). Los servicios/aplicativos que no tengan acceso fuera de la LAN tienen un menor impacto, al no estar tan expuestos a ataques.

Un servidor con Oracle y Linux, que sí usa Log4j, siempre que no tenga accesibilidad externa, no será muy precupante. Si bien es conveniente actualizar Log4j a su versión corregida, por si el ataque viene desde la propia LAN:

[ora@serveroracle ~]# find / -iname «*log4j*.jar»
/ora/sof/database/stage/ext/jlib/log4j-core.jar
/ora/sof/6880880/OPatch/ocm/lib/log4j-core.jar
/opt/oracle/product/11/OPatch/ocm/lib/log4j-core.jar
/opt/oracle/product/11/oc4j/ant/lib/ant-apache-log4j.jar
/opt/oracle/product/11/ccr/lib/log4j-core.jar
/opt/oracle/product/11/oui/jlib/jlib/log4j-core.jar
/opt/oracle/product/11/inventory/Scripts/ext/jlib/log4j-core.jar
/opt/oracle/product/11/inventory/backup/2016-06-23_01-32-58PM/Scripts/ext/jlib/log4j-core.jar
/opt/oracle/product/11/sysman/jlib/log4j-core.jar
/opt/oracle/product/11/sysman/jlib/ocm/log4j-core.jar
/home/oracle/oracle.ahf/common/jlib/log4j-core-2.13.3.jar
/home/oracle/oracle.ahf/common/jlib/log4j-api-2.13.3.jar