log4j-test

CVE-2021-44228 को क्रियान्वित करने वाला सरल उदाहरण

स्पष्टीकरण

• इस समस्या को पुन: उत्पन्न करने के लिए, मैं SpringBoot से लॉगिंग के लिए ट्रांज़िटिव डिपेंडेंसी हटा रहा हूँ।
• इसके बजाय, मैं spring-boot-starter-log4j2 ला रहा हूँ
• spring-boot-starter-log4j2 log4j-core लाता है जिसमें रिमोट कोड एक्सप्लॉइट (RCE) कमजोरी है।

API चलाना

• या तो टर्मिनल में कमांड ./gradlew clean build bootRun चलाएँ या
• राइट क्लिक करें और Log4TestApplication.java में run पर क्लिक करें।

JNDI मान पास करने पर क्या होता है?

• क्योंकि हम एक अस्तित्वहीन साइट पर रिज़ॉल्व कर रहे हैं, हमें एक ConnectException मिलता है।
• लेकिन, कल्पना करें कि अगर यह एक वास्तविक दुर्भावनापूर्ण सर्वर होता तो क्या हो सकता था!

संभावित समाधान?

• यदि आप MAVEN का उपयोग कर रहे हैं - https://github.com/strawhatasif/log4j-test/tree/maven-variant
• इस पर स्थित: https://github.com/strawhatasif/log4j-test/tree/strategic-fix

संदर्भ:

• https://www.lunasec.io/docs/blog/log4j-zero-day/
• https://www.bleepingcomputer.com/news/security/new-zero-day-exploit-for-log4j-java-library-is-an-enterprise-nightmare/
• https://www.fastly.com/blog/digging-deeper-into-log4shell-0day-rce-exploit-found-in-log4j