CVE-2021-44228 alias LOG4J

Este es un repositorio público de Wortell que contiene información, enlaces, archivos y otros elementos relacionados con las vulnerabilidades de Log4j.

Debido a vulnerabilidades en log4j 2.17.0, ahora se recomienda actualizar a la versión 2.17.1.

CVEs conocidos

---

1. Escaneo

Aquí hay algunas opciones para intentar encontrar aplicaciones que usen Log4j y que podrían ser explotadas:

• Complemento BURP Pro: https://gist.github.com/kugg/0d08b6548db249eaffaca1799e0d01d6
• Escáner de archivos (obviamente PowerShell, para Windows): https://gist.github.com/Skons/0b9bbfbbf37d2707ccf83f3d549a6588
• Escáner de archivos (obviamente Go, todas las plataformas) https://github.com/dtact/divd-2021-00038--log4j-scanner (¡También deshabilitará JNDI cuando se encuentre!)
• Aplicación de prueba vulnerable: https://github.com/kugg/log4shellverify
• Escáner web/URL: https://github.com/zerobs-rvn/hrafna
• Escáner web/URL: https://github.com/fullhunt/log4j-scan
• Shodan: https://www.shodan.io/search?query=has_vuln%3ACVE2021-44228
• Plugins de Tenable: https://www.tenable.com/plugins/search?q=cves%3A%28%22CVE-2021-44228%22%29&sort=&page=1
• Escáner de Lunasec: https://github.com/lunasec-io/lunasec/releases/tag/v1.0.0-log4shell
• Escáner de logs (comprueba archivos de registro locales en busca de indicadores de intentos de explotación) https://github.com/Neo23x0/log4shell-detector
• Detecta versiones de log4j en su sistema de archivos, incluyendo copias anidadas recursivamente profundas (jars dentro de jars dentro de jars). Funciona en Linux, Windows y Mac, ¡y en cualquier otro lugar donde se ejecute Java! https://github.com/mergebase/log4j-detector
• Escáner basado en Ansible https://github.com/robertdebock/ansible-role-cve_2021_44228

2. Indicadores de compromiso

• Indicadores de compromiso de NCC Group https://research.nccgroup.com/2021/12/12/log4shell-reconnaissance-and-post-exploitation-network-detection/
• Cadenas de explotación de Log4J anidadas https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words
• Feed de IOC de Microsoft Threat Intelligence Center https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Sample%20Data/Feeds/Log4j_IOC_List.csv
• Lista de IOC de Crowdsec https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166

Florian Roth también publicó una excelente regla YARA: https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

3. Aplicaciones vulnerables

• (neerlandés) Lista del NCSC de aplicaciones vulnerables: https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

4. Información

• Lunasec (Guía para detectar y mitigar Log4Shell) https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/
• Govcert.ch: Explotación de día cero dirigida a la popular librería Java Log4j https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/
• Guía del NCSC neerlandés: https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
• Aviso del NCSC neerlandés: https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052
• Log4Shell: ¿la peor pesadilla del defensor? https://www.sekoia.io/en/log4shell-the-defenders-worst-nightmare/
• Microsoft: Guía para prevenir, detectar y buscar la explotación de CVE-2021-44228 Log4j 2 https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
• Cómo detectar Log4j con MS Endpoint Manager (Alex Verboon) https://www.verboon.info/2021/12/how-to-detect-the-log4shell-vulnerability-cve-2021-44228-with-microsoft-endpoint-configuration-manager/
• Los atacantes ahora se están desplazando de LDAP a RMI https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi
• Conti se convierte en el primer grupo sofisticado de ciberdelincuencia que utiliza Log4j2 como arma https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement

5. Muestras

• VX-underground mantiene una biblioteca de muestras de familias de malware que se ha visto abusando del CVE de log4j: https://samples.vx-underground.org/samples/Families/Log4J%20Malware/

• Muestras de versiones de la librería log4j para ayudar a validar escáneres/detectores de log4j: https://github.com/mergebase/log4j-samples/

• Microsoft Sentinel proporciona un entorno de laboratorio de investigación CVE-2021-44228 Log4Shell para probar y aprender más sobre la vulnerabilidad: https://github.com/Cyb3rWard0g/log4jshell-lab

6. Parches

• Apache LOG4J versión 2.17.1 https://logging.apache.org/log4j/2.x/download.html

7. Guía de mitigación

¡IMPORTANTE! Las explotaciones se desarrollan continuamente. Asegúrese siempre de trabajar con la versión más reciente de los escáneres. Se ha verificado que los escáneres utilizados a continuación tienen en cuenta que se recomienda la versión 2.17.1 de log4j.

1. Identifique posibles dispositivos vulnerables utilizando https://github.com/NCSC-NL/log4shell/blob/main/software/README.md - Esta es una tarea que consume tiempo, pero debe hacerla de todas formas, ¡así que mejor empezar rápido!

2. Ejecute un escaneo para verificar aplicaciones/dependencias Java vulnerables utilizando: https://github.com/dtact/divd-2021-00038--log4j-scanner con el comando divd-2021-00038--log4j-scanner.exe {ruta-destino} y revise los archivos que hayan sido clasificados como vulnerables.

3. Ejecute un escaneo para verificar intentos de explotación utilizando https://github.com/Neo23x0/log4shell-detector python3 log4shell-detector.py -p c:\ y revise los intentos de explotación.

8. Blogs de Wortell

Aquí hay especialistas de Wortell blogueando sobre LOG4J:

• Jeffrey Appel: Microsoft Defender https://jeffreyappel.nl/microsoft-defender-for-endpoint-log4j/

• Jeroen Niesen: ingeniería inversa https://www.wortell.nl/en/blogs/cve-2021-44228-log4shell