Breve riepilogo dell'esecuzione di codice remota in log4j2 (CVE-2021-44228)

Requisiti

• maven >= 3
• java >= 8
• nessun ldap in esecuzione su 127.0.0.1:1389

Utilizzo

Compila con maven.

mvn test

Il plugin surefire verrà eseguito due volte:

• ExploitabilityTest dimostra la sfruttabilità del bug.

• MitigationTest verrà eseguito con la proprietà vm -Dlog4j2.formatMsgNoLookups=true e dimostra l'efficacia della mitigazione.

In breve

log4j vs log4j2

log4j2 non è log4j 1.x; entrambi sono framework di logging, ma sono incompatibili a livello di API. log4j 1.x non è affetto da questo bug, ma potrebbe avere altre vulnerabilità di sicurezza.

L'exploit

• log4j2 valuta un pattern di lookup ( ${...} ) sia nella stringa di formattazione che negli argomenti. quindi quando un input esterno viene registrato, tali pattern possono essere aggiunti e log4j2 li valuterà.
• il gestore di lookup per jndi è abilitato di default, e quindi può essere attivato da un pattern di lookup come descritto sopra, ad es. ${jndi:127.0.0.1:1389/a}
• a causa di bug nel codice jndi, java è soggetto a esecuzioni di codice remoto
• a causa della combinazione di queste tre parti, le esecuzioni di codice remoto ora possono essere attivate dall'esterno

Riferimenti

• la cve
• ticket log4j2 per l'aggiunta di log4j2.formatMsgNoLookups
• mitigazione tramite agent
• post di analisi su stack exchange
• presentazione sulle vulnerabilità in jndi
• mitigazione per spring
• articolo su heise in tedesco
• un altro poc
• elenco dei bollettini