CVE-2021-44228 a.k.a. LOG4J

Dies ist ein öffentliches Repository von Wortell, das Informationen, Links, Dateien und andere Elemente im Zusammenhang mit den Schwachstellen von Log4j enthält.

Aufgrund von Schwachstellen in log4j 2.17.0 wird nun empfohlen, auf Version 2.17.1 zu patchen.

Bekannte CVEs

---

1. Scannen

Hier sind einige Optionen, um Anwendungen zu finden, die Log4j verwenden und potenziell missbraucht werden könnten:

• BURP Pro Add-in: https://gist.github.com/kugg/0d08b6548db249eaffaca1799e0d01d6
• Datei-Scanner (obv Powershell, für Windows): https://gist.github.com/Skons/0b9bbfbbf37d2707ccf83f3d549a6588
• Datei-Scanner (obv Go, alle Plattformen) https://github.com/dtact/divd-2021-00038--log4j-scanner (Wird auch JNDI deaktivieren, wenn gefunden!)
• Verwundbare Test-App: https://github.com/kugg/log4shellverify
• Web/URL-Scanner: https://github.com/zerobs-rvn/hrafna
• Web/URL-Scanner: https://github.com/fullhunt/log4j-scan
• Shodan: https://www.shodan.io/search?query=has_vuln%3ACVE2021-44228
• Tenable Plugins: https://www.tenable.com/plugins/search?q=cves%3A%28%22CVE-2021-44228%22%29&sort=&page=1
• Lunasec Scanner: https://github.com/lunasec-io/lunasec/releases/tag/v1.0.0-log4shell
• Log-Scanner (Er überprüft lokale Logdateien auf Anzeichen von Exploit-Versuchen) https://github.com/Neo23x0/log4shell-detector
• Erkennt log4j-Versionen auf Ihrem Dateisystem, einschließlich tief rekursiv verschachtelter Kopien (Jars in Jars in Jars). Funktioniert unter Linux, Windows und Mac sowie überall dort, wo Java läuft! https://github.com/mergebase/log4j-detector
• Ansible-basierter Scanner https://github.com/robertdebock/ansible-role-cve_2021_44228

2. Indikatoren für Kompromittierung

• NCC Group Indikatoren für Kompromittierung https://research.nccgroup.com/2021/12/12/log4shell-reconnaissance-and-post-exploitation-network-detection/
• Verschachtelte Log4J-Exploit-Strings https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words
• Microsoft Threat Intelligence Center IOC-Feed https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Sample%20Data/Feeds/Log4j_IOC_List.csv
• Crowdsec IOC-Liste https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166

Florian Roth hat auch eine großartige YARA-Regel veröffentlicht: https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

3. Verwundbare Anwendungen

• (niederländische) NCSC-Liste verwundbarer Anwendungen: https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

4. Informationen

• Lunasec (Leitfaden zur Erkennung und Minderung von Log4Shell) https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/
• Govcert.ch Zero-Day-Exploit gegen die beliebte Java-Bibliothek Log4j https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/
• Niederländische NCSC-Anleitung: https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
• Niederländische NCSC-Bekanntmachung: https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052
• Log4Shell: der schlimmste Albtraum der Verteidiger? https://www.sekoia.io/en/log4shell-the-defenders-worst-nightmare/
• Microsoft: Leitfaden zur Verhinderung, Erkennung und Jagd nach CVE-2021-44228 Log4j 2-Ausnutzung https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
• So erkennen Sie Log4j mit MS Endpoint Manager (Alex Verboon) https://www.verboon.info/2021/12/how-to-detect-the-log4shell-vulnerability-cve-2021-44228-with-microsoft-endpoint-configuration-manager/
• Angreifer verlagern sich jetzt von LDAP zu RMI https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi
• Conti wird die erste anspruchsvolle Crimeware-Gruppe, die Log4j2 bewaffnet https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement

5. Beispiele

• VX-underground unterhält eine Bibliothek von Beispielen aus Malware-Familien, die nachweislich die log4j-CVE missbraucht haben: https://samples.vx-underground.org/samples/Families/Log4J%20Malware/

• Beispiele von log4j-Bibliotheksversionen zur Validierung von log4j-Scannern/Detektoren: https://github.com/mergebase/log4j-samples/

• Microsoft Sentinel bietet eine CVE-2021-44228 Log4Shell Research Lab-Umgebung zum Testen und Lernen über die Schwachstelle: https://github.com/Cyb3rWard0g/log4jshell-lab

6. Patches

• Apache LOG4J Version 2.17.1 https://logging.apache.org/log4j/2.x/download.html

7. Leitfaden zur Schadensbegrenzung

! WICHTIG ! Exploits werden kontinuierlich weiterentwickelt. Stellen Sie immer sicher, dass Sie mit der neuesten Version der Scanner arbeiten. Es wurde bestätigt, dass die unten verwendeten Scanner berücksichtigen, dass Version 2.17.1 von log4j empfohlen wird.

1. Identifizieren Sie potenziell verwundbare Geräte mit https://github.com/NCSC-NL/log4shell/blob/main/software/README.md - Dies ist eine zeitaufwändige Aufgabe, aber Sie müssen sie trotzdem erledigen, also beginnen Sie besser schnell!

2. Führen Sie einen Scan durch, um auf verwundbare Java-Anwendungen/Abhängigkeiten zu prüfen, mit: https://github.com/dtact/divd-2021-00038--log4j-scanner mit dem Befehl divd-2021-00038--log4j-scanner.exe {Zielpfad} und achten Sie auf Dateien, die als verwundbar eingestuft wurden.

3. Führen Sie einen Scan durch, um auf Exploit-Versuche zu prüfen, mit https://github.com/Neo23x0/log4shell-detector python3 log4shell-detector.py -p c:\ und achten Sie auf Ausnutzungsversuche.

8. Wortell-Blogs

Hier bloggen Wortell-Spezialisten über LOG4J:

• Jeffrey Appel: Microsoft Defender https://jeffreyappel.nl/microsoft-defender-for-endpoint-log4j/

• Jeroen Niesen: Reverse Engineering https://www.wortell.nl/en/blogs/cve-2021-44228-log4shell