CVE-2021-44228 일명 LOG4J

이것은 Wortell의 공개 저장소로, Log4j 관련 취약점에 대한 정보, 링크, 파일 및 기타 항목을 포함하고 있습니다.

log4j 2.17.0의 취약점으로 인해 이제 버전 2.17.1로 패치하는 것이 권장됩니다.

알려진 CVE

CVE	점수	설명
CVE-2021-44228	10.0	Log4j 2.0-beta9 ~ 2.14.1 버전에 영향을 미치는 원격 코드 실행 취약점 (버전 2.15.0에서 수정됨)
CVE-2021-45046	9.0	Log4j 2.0-beta9 ~ 2.15.0(2.12.2 제외) 버전에 영향을 미치는 정보 유출 및 원격 코드 실행 취약점 (버전 2.16.0에서 수정됨)
CVE-2021-45105	7.5	Log4j 2.0-beta9 ~ 2.16.0 버전에 영향을 미치는 서비스 거부 취약점 (버전 2.17.0에서 수정됨)
CVE-2021-44832	6.6	Log4j2 2.0-beta7 ~ 2.17.0(보안 수정 릴리스 2.3.2 및 2.12.4 제외) 버전에 영향을 미치는 원격 코드 실행 취약점

---

1. 스캐닝

다음은 Log4j를 사용하며 잠재적으로 악용될 수 있는 애플리케이션을 찾기 위한 몇 가지 옵션입니다:

• BURP Pro 애드인: https://gist.github.com/kugg/0d08b6548db249eaffaca1799e0d01d6
• 파일 스캐너 (obv Powershell, Windows 용): https://gist.github.com/Skons/0b9bbfbbf37d2707ccf83f3d549a6588
• 파일 스캐너 (obv Go, 모든 플랫폼) https://github.com/dtact/divd-2021-00038--log4j-scanner (발견 시 JNDI도 비활성화합니다!)
• 취약한 테스트 앱: https://github.com/kugg/log4shellverify
• 웹/URL 스캐너: https://github.com/zerobs-rvn/hrafna
• 웹/URL 스캐너: https://github.com/fullhunt/log4j-scan
• Shodan: https://www.shodan.io/search?query=has_vuln%3ACVE2021-44228
• Tenable 플러그인: https://www.tenable.com/plugins/search?q=cves%3A%28%22CVE-2021-44228%22%29&sort=&page=1
• Lunasec 스캐너: https://github.com/lunasec-io/lunasec/releases/tag/v1.0.0-log4shell
• 로그 스캐너 (로컬 로그 파일에서 악용 시도 징후 확인) https://github.com/Neo23x0/log4shell-detector
• 파일 시스템에서 log4j 버전을 탐지하며, 깊이 재귀적으로 중첩된 복사본(jar 안의 jar 안의 jar)도 포함합니다. Linux, Windows, Mac 및 Java가 실행되는 모든 곳에서 작동합니다! https://github.com/mergebase/log4j-detector
• Ansible 기반 스캐너 https://github.com/robertdebock/ansible-role-cve_2021_44228

2. 침해 지표 (IOC)

• NCC Group 침해 지표 https://research.nccgroup.com/2021/12/12/log4shell-reconnaissance-and-post-exploitation-network-detection/
• 중첩된 Log4J 익스플로잇 문자열 https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words
• Microsoft 위협 인텔리전스 센터 IOC 피드 https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Sample%20Data/Feeds/Log4j_IOC_List.csv
• Crowdsec IOC 목록 https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166

Florian Roth는 훌륭한 YARA 규칙도 게시했습니다: https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

3. 취약한 애플리케이션

• (네덜란드) NCSC 취약 애플리케이션 목록: https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

4. 정보

• Lunasec (Log4Shell 탐지 및 완화 가이드) https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/
• Govcert.ch 인기 자바 라이브러리 Log4j 대상 제로데이 익스플로잇 https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/
• 네덜란드 NCSC 지침: https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
• 네덜란드 NCSC 권고: https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052
• Log4Shell: 방어자의 최악의 악몽? https://www.sekoia.io/en/log4shell-the-defenders-worst-nightmare/
• Microsoft: CVE-2021-44228 Log4j 2 악용 방지, 탐지 및 헌팅을 위한 지침 https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
• MS 엔드포인트 관리자로 Log4j 탐지 방법 (Alex Verboon) https://www.verboon.info/2021/12/how-to-detect-the-log4shell-vulnerability-cve-2021-44228-with-microsoft-endpoint-configuration-manager/
• 공격자, 이제 LDAP에서 RMI로 전환 https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi
• Conti, Log4j2를 무기화한 최초의 정교한 크라임웨어 그룹이 되다 https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement

5. 샘플

• VX-underground는 log4j CVE를 악용한 것으로 확인된 악성코드 계열의 샘플 라이브러리를 유지 관리하고 있습니다: https://samples.vx-underground.org/samples/Families/Log4J%20Malware/

• log4j 스캐너/탐지기 검증을 위한 log4j 라이브러리 버전 샘플: https://github.com/mergebase/log4j-samples/

• Microsoft Sentinel은 취약점에 대한 테스트 및 학습을 위한 CVE-2021-44228 Log4Shell 연구 랩 환경을 제공합니다: https://github.com/Cyb3rWard0g/log4jshell-lab

6. 패치

• Apache LOG4J 버전 2.17.1 https://logging.apache.org/log4j/2.x/download.html

7. 완화 가이드

! 중요 ! 익스플로잇은 지속적으로 개발되고 있습니다. 항상 최신 버전의 스캐너로 작업해야 합니다. 아래 사용된 스캐너는 log4j 버전 2.17.1이 권장된다는 점을 고려하고 있음이 확인되었습니다.

1. https://github.com/NCSC-NL/log4shell/blob/main/software/README.md를 사용하여 잠재적으로 취약한 장치를 식별하세요. - 시간이 많이 걸리는 작업이지만 어차피 해야 하므로 빨리 시작하는 것이 좋습니다!

2. https://github.com/dtact/divd-2021-00038--log4j-scanner를 사용하여 취약한 Java 애플리케이션/종속성을 확인하기 위해 스캔을 실행하세요. 명령어: divd-2021-00038--log4j-scanner.exe {target-path}로 취약한 것으로 분류된 파일을 확인하세요.

버전	분류
2.12.4	안전
2.17.1	안전
2.3.2	안전
2.16.0	양호
2.15.0	양호
< 2.15.0	취약

3. https://github.com/Neo23x0/log4shell-detector를 사용하여 익스플로잇 시도를 확인하는 스캔을 실행하세요. 명령어: python3 log4shell-detector.py -p c:\로 악용 시도를 확인하세요.

8. Wortell 블로그

다음은 LOG4J에 대해 블로그를 게시한 Wortell 전문가들입니다:

• Jeffrey Appel: Microsoft Defender https://jeffreyappel.nl/microsoft-defender-for-endpoint-log4j/

• Jeroen Niesen: 리버스 엔지니어링 https://www.wortell.nl/en/blogs/cve-2021-44228-log4shell