CVE-2021-44228 alias LOG4J

Ceci est un dépôt public de Wortell contenant des informations, des liens, des fichiers et d'autres éléments liés aux vulnérabilités de Log4j.

En raison de vulnérabilités dans log4j 2.17.0, il est désormais recommandé de mettre à jour vers la version 2.17.1

CVEs connus

---

1. Scan

Voici quelques options pour essayer de trouver des applications qui utilisent Log4j et qui pourraient potentiellement être exploitées :

• Extension BURP Pro : https://gist.github.com/kugg/0d08b6548db249eaffaca1799e0d01d6
• Scanner de fichiers (évidemment Powershell, pour Windows) : https://gist.github.com/Skons/0b9bbfbbf37d2707ccf83f3d549a6588
• Scanner de fichiers (évidemment Go, toutes les plates-formes) https://github.com/dtact/divd-2021-00038--log4j-scanner (Désactivera également JNDI, lorsqu'il est trouvé !)
• Application de test vulnérable : https://github.com/kugg/log4shellverify
• Scan Web/URL : https://github.com/zerobs-rvn/hrafna
• Scan Web/URL : https://github.com/fullhunt/log4j-scan
• Shodan : https://www.shodan.io/search?query=has_vuln%3ACVE2021-44228
• Plugins Tenable : https://www.tenable.com/plugins/search?q=cves%3A%28%22CVE-2021-44228%22%29&sort=&page=1
• Scanner Lunasec : https://github.com/lunasec-io/lunasec/releases/tag/v1.0.0-log4shell
• Scanner de logs (Il vérifie les fichiers journaux locaux pour des indicateurs de tentatives d'exploitation) https://github.com/Neo23x0/log4shell-detector
• Détecte les versions de log4j sur votre système de fichiers, y compris les copies profondément imbriquées de manière récursive (jars dans des jars dans des jars). Fonctionne sur Linux, Windows et Mac, et partout ailleurs où Java s'exécute ! https://github.com/mergebase/log4j-detector
• Scanner basé sur Ansible https://github.com/robertdebock/ansible-role-cve_2021_44228

2. Indicateurs de compromission

• Indicateurs de compromission de NCC Group https://research.nccgroup.com/2021/12/12/log4shell-reconnaissance-and-post-exploitation-network-detection/
• Chaînes d'exploitation Log4J imbriquées https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words
• Flux IOC du Microsoft Threat Intelligence Center https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Sample%20Data/Feeds/Log4j_IOC_List.csv
• Liste IOC de Crowdsec https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166

Florian Roth a également publié une excellente règle YARA : https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

3. Applications vulnérables

• (néerlandais) Liste NCSC des applications vulnérables : https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

4. Informations

• Lunasec (Guide pour détecter et atténuer Log4Shell) https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/
• Govcert.ch Zero Day Exploit ciblant la bibliothèque Java populaire Log4j https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/
• Guide NCSC néerlandais : https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
• Avis NCSC néerlandais : https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052
• Log4Shell : le pire cauchemar du défenseur ? https://www.sekoia.io/en/log4shell-the-defenders-worst-nightmare/
• Microsoft : Guide pour prévenir, détecter et rechercher l'exploitation de CVE-2021-44228 Log4j 2 https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
• Comment détecter Log4j avec MS Endpoint Manager (Alex Verboon) https://www.verboon.info/2021/12/how-to-detect-the-log4shell-vulnerability-cve-2021-44228-with-microsoft-endpoint-configuration-manager/
• Les attaquants se tournent désormais de LDAP vers RMI https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi
• Conti devient le premier groupe de crimeware sophistiqué à utiliser Log4j2 comme arme https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement

5. Échantillons

• VX-underground maintient une bibliothèque d'échantillons de familles de malwares qui ont été vus abusant de la CVE log4j : https://samples.vx-underground.org/samples/Families/Log4J%20Malware/

• Échantillons de versions de la bibliothèque log4j pour aider à valider les scanners/détecteurs log4j : https://github.com/mergebase/log4j-samples/

• Microsoft Sentinel fournit un environnement de laboratoire de recherche Log4Shell CVE-2021-44228 pour tester et en apprendre davantage sur la vulnérabilité : https://github.com/Cyb3rWard0g/log4jshell-lab

6. Correctifs

• Apache LOG4J version 2.17.1 https://logging.apache.org/log4j/2.x/download.html

7. Guide d'atténuation

! IMPORTANT ! Les exploits sont continuellement développés. Assurez-vous toujours de travailler avec la dernière version des scanners. Il est vérifié que les scanners utilisés ci-dessous tiennent compte du fait que la version 2.17.1 de log4j est recommandée.

1. Identifiez les appareils potentiellement vulnérables en utilisant https://github.com/NCSC-NL/log4shell/blob/main/software/README.md - C'est une tâche chronophage, mais vous devez le faire de toute façon, alors commencez vite !

2. Lancez un scan pour vérifier les applications/dépendances Java vulnérables en utilisant : https://github.com/dtact/divd-2021-00038--log4j-scanner avec la commande divd-2021-00038--log4j-scanner.exe {target-path} et surveillez les fichiers classés comme vulnérables.

3. Lancez un scan pour vérifier les tentatives d'exploitation en utilisant https://github.com/Neo23x0/log4shell-detector python3 log4shell-detector.py -p c:\ et surveillez les tentatives d'exploitation.

8. Blogs de Wortell

Voici des spécialistes de Wortell qui bloguent sur LOG4J :

• Jeffrey Appel : Microsoft Defender https://jeffreyappel.nl/microsoft-defender-for-endpoint-log4j/

• Jeroen Niesen : rétro-ingénierie https://www.wortell.nl/en/blogs/cve-2021-44228-log4shell