CVE-2021-44228, также известная как LOG4J

Это публичный репозиторий от Wortell, содержащий информацию, ссылки, файлы и другие материалы, связанные с уязвимостями Log4j.

Из-за уязвимостей в log4j 2.17.0 сейчас рекомендуется обновиться до версии 2.17.1

Известные CVE

CVE	Оценка	Описание
CVE-2021-44228	10.0	Уязвимость удалённого выполнения кода, затрагивающая Log4j версий с 2.0-beta9 по 2.14.1 (исправлена в версии 2.15.0)
CVE-2021-45046	9.0	Уязвимость утечки информации и удалённого выполнения кода, затрагивающая Log4j версий с 2.0-beta9 по 2.15.0, за исключением 2.12.2 (исправлена в версии 2.16.0)
CVE-2021-45105	7.5	Уязвимость отказа в обслуживании, затрагивающая Log4j версий с 2.0-beta9 по 2.16.0 (исправлена в версии 2.17.0)
CVE-2021-44832	6.6	Уязвимость удалённого выполнения кода, затрагивающая Log4j2 версий с 2.0-beta7 по 2.17.0 (за исключением исправленных версий 2.3.2 и 2.12.4)

log4j-wortell-octo-ninja

1. Сканирование

Вот несколько вариантов для поиска приложений, использующих Log4j, которые могут быть потенциально скомпрометированы:

Дополнение для BURP Pro: https://gist.github.com/kugg/0d08b6548db249eaffaca1799e0d01d6
Сканер файлов (написан на PowerShell, для Windows): https://gist.github.com/Skons/0b9bbfbbf37d2707ccf83f3d549a6588
Сканер файлов (написан на Go, все платформы): https://github.com/dtact/divd-2021-00038--log4j-scanner (Также отключает JNDI при обнаружении!)
Тестовое уязвимое приложение: https://github.com/kugg/log4shellverify
Сканер веб/URL: https://github.com/zerobs-rvn/hrafna
Сканер веб/URL: https://github.com/fullhunt/log4j-scan
Shodan: https://www.shodan.io/search?query=has_vuln%3ACVE2021-44228
Плагины Tenable: https://www.tenable.com/plugins/search?q=cves%3A%28%22CVE-2021-44228%22%29&sort=&page=1
Сканер Lunasec: https://github.com/lunasec-io/lunasec/releases/tag/v1.0.0-log4shell
Сканер логов (проверяет локальные файлы логов на признаки попыток эксплуатации): https://github.com/Neo23x0/log4shell-detector
Обнаруживает версии log4j в файловой системе, включая глубоко рекурсивно вложенные копии (jars внутри jars внутри jars). Работает на Linux, Windows и Mac, а также везде, где работает Java! https://github.com/mergebase/log4j-detector
Сканер на основе Ansible: https://github.com/robertdebock/ansible-role-cve_2021_44228

2. Индикаторы компрометации (IOC)

Индикаторы компрометации от NCC Group: https://research.nccgroup.com/2021/12/12/log4shell-reconnaissance-and-post-exploitation-network-detection/
Вложенные строки эксплуатации Log4J: https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words
Канал IOC от Центра анализа угроз Microsoft: https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Sample%20Data/Feeds/Log4j_IOC_List.csv
Список IOC от Crowdsec: https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166

Florian Roth также опубликовал отличное YARA-правило: https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

3. Уязвимые приложения

(нидерландский NCSC) Список уязвимых приложений: https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

4. Информация

Lunasec (руководство по обнаружению и смягчению Log4Shell): https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/
Govcert.ch: Эксплойты нулевого дня против популярной Java-библиотеки Log4j: https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/
Руководство нидерландского NCSC: https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
Уведомление нидерландского NCSC: https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052
Log4Shell: худший кошмар защитника? https://www.sekoia.io/en/log4shell-the-defenders-worst-nightmare/
Microsoft: Руководство по предотвращению, обнаружению и поиску CVE-2021-44228 Log4j 2: https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
Как обнаружить Log4j с помощью MS Endpoint Manager (Alex Verboon): https://www.verboon.info/2021/12/how-to-detect-the-log4shell-vulnerability-cve-2021-44228-with-microsoft-endpoint-configuration-manager/
Атакующие переключаются с LDAP на RMI: https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi
Conti становится первой сложной группировкой киберпреступников, использующей Log4j2: https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement

anatomy_log4j

5. Образцы

VX-underground поддерживает библиотеку образцов вредоносных семейств, замеченных в эксплуатации log4j CVE: https://samples.vx-underground.org/samples/Families/Log4J%20Malware/
Образцы версий библиотеки log4j для проверки сканеров/детекторов log4j: https://github.com/mergebase/log4j-samples/
Microsoft Sentinel предоставляет лабораторную среду CVE-2021-44228 Log4Shell для тестирования и изучения уязвимости: https://github.com/Cyb3rWard0g/log4jshell-lab

6. Исправления (патчи)

Apache LOG4J версия 2.17.1: https://logging.apache.org/log4j/2.x/download.html

7. Руководство по смягчению уязвимости

! ВАЖНО ! Эксплойты постоянно развиваются. Всегда работайте с последней версией сканеров. Проверено, что используемые ниже сканеры учитывают рекомендацию по версии log4j 2.17.1.

Определите потенциально уязвимые устройства с помощью https://github.com/NCSC-NL/log4shell/blob/main/software/README.md - Это трудоёмкая задача, но её всё равно нужно выполнить, так что лучше начать быстро!
Запустите сканирование для проверки уязвимых Java-приложений/зависимостей, используя https://github.com/dtact/divd-2021-00038--log4j-scanner с командой divd-2021-00038--log4j-scanner.exe {target-path} и обратите внимание на файлы, классифицированные как уязвимые.

Версия	Классификация
2.12.4	Безопасная
2.17.1	Безопасная
2.3.2	Безопасная
2.16.0	Приемлемая
2.15.0	Приемлемая
< 2.15.0	Уязвимая

Запустите сканирование для проверки попыток эксплуатации с помощью https://github.com/Neo23x0/log4shell-detector python3 log4shell-detector.py -p c:\ и следите за признаками эксплуатации.