Como se alertó el pasado viernes, 10 de diciembre, se ha hecho pública una vulnerabilidad que afecta a la librería de registro de Java Apache Log4j 2, herramienta desarrollada por Apache Foundation que ayuda a los desarrolladores de software a escribir mensajes de registro, cuyo propósito es dejar constancia de una determinada transacción en tiempo de ejecución, además, Log4j permite filtrar los mensajes en función de su importancia.

Nuevas recomendaciones:

• Revisar si se está usando log4j
  • PowerShell
    • https://github.com/crypt0jan/log4j-powershell-checker
    • gci ‘C:\’ -rec -force -include *.jar -ea 0 | foreach {select-string “JndiLookup.class” $_} | select -exp Path
  • Linux
    • find / 2>/dev/null -regex “.*.jar” -type f | xargs -I{} grep JndiLookup.class “{}”
  • Revisar ficheros de configuración buscando log4j2.formatMsgNoLookups y la variable de entorno LOG4J_FORMAT_MSG_NO_LOOKUPS. Deben estar a True.

• • Revisar aplicaciones de Java
    • https://github.com/logpresso/CVE-2021-44228-Scanner (Observación: realiza la mitigación de forma automática)
    • https://github.com/hillu/local-log4j-vuln-scanner
    • https://github.com/mergebase/log4j-detector
  • JAR file hashes
    • https://github.com/mubix/CVE-2021-44228-Log4Shell-Hashes
  • Class file hashes (2.15.0 no es vulnerable, pero está incluida)
    • https://gist.github.com/olliencc/8be866ae94b6bee107e3755fd1e9bf0d
  • JAR and Class hashes
    • https://github.com/nccgroup/Cyber-Defence/tree/master/Intelligence/CVE-2021-44228
  • Escaneo de vulnerabilidad en Go
    • https://github.com/hillu/local-log4j-vuln-scanner
  • Conjunto de reglas YARA para la detección de versiones de log4j vulnerables a CVE-2021-44228 by looking for the signature of JndiManager prior to 2.15.0.
    • https://github.com/darkarnium/CVE-2021-44228

• Revisar si se ha tenido un aumento de conexiones DNS.
  • Los intentos durante el fin de semana se han focalizado en el uso de las POC que explotan la vulnerabilidad conectando con servidores de DNS. Un aumento fuera de lo habitual en las conexiones salientes a DNS durante el pasado fin de semana puede ser indicativo de explotación exitosa
• Aplicar listas blancas en la salida de internet en caso de duda de estar usando la librería log4j
  • Revisar si tiene uno de los siguientes aplicativos:
    https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592

• Revisar en logs los siguientes IOC:
  https://gist.github.com/gnremy/c546c7911d5f876f263309d7161a7217
  En caso de sospechas revisar los logs de las aplicaciones para buscar “jndi”, se pueden apoyar en los siguientes scripts:
  https://github.com/Neo23x0/log4shell-detector/
• Revisar en Windows si se han creado tareas programadas, y en Linux en el Cron.
• Actualizar a la versión versión de Log4j, se ha publicado la versión 2.16 https://github.com/apache/logging-log4j2/blob/cffe58f6a433ea1ab60ceb129d4c9b3377acda1d/RELEASE-NOTES.md
• La vulnerabilidad también se puede mitigar en versiones anteriores (sólo versión 2.10 y posteriores) estableciendo la propiedad del sistema “log4j2.formatMsgNoLookups” en “true” o eliminando la clase JndiLookup del classpath.
• En caso de no poder aplicar las medidas anteriores Deshabilitar JNDI si no se está usando
• En caso de no poder aplicar las medidas anteriores eliminar las clases JndiLookup y JndiManager de la biblioteca  log4j-core jar. La eliminación de  JndiManager causara que no funcione JndiContextSelector y  JMSAppender.

En caso de haber detectado la explotación de esta vulnerabilidad puede informar de ello en la siguiente dirección de correo electrónico: incidentes@ccn-cert.cni.es

Posibles vectores de entrada

La vulnerabilidad puede ser explotada fácilmente en múltiples aplicaciones y servidores, una recopilación de aplicaciones comerciales afectadas es la siguiente https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

El exploit puede ser usado en campos propios de las aplicaciones de cada organismo usando los parámetros de comunicaciones o los datos de los formularios de la aplicación.

Se debe prestar especial atención a los siguientes parámetros de entrada de las aplicaciones con conexión a Internet:

• X-Api-Version
• User-Agent
• Referer
• X-Druid-Comment
• Origin
• Location
• X-Forwarded-For
• Cookie
• X-Requested-With
• X-Forwarded-Host
• Accept

IOC

La lista de IOC se está ampliando según avanzan las investigaciones. Les sugerimos varios enlaces para actualizar listados de IPs que realizan escaneos activos e intentos de explotación de la vulnerabilidad:

• https://community.riskiq.com/article/57abbfcf/indicators
• https://blog.talosintelligence.com/2021/12/apache-log4j-rce-vulnerability.html

Referencias:

• https://www.reddit.com/r/blueteamsec/comments/rd38z9/log4j_0day_being_exploited
• Sistemas vulnerables y situación

Atentamente,

Equipo CCN-CERT