使用 Elastic Security 检测 CVE-2021-44228 (log4j2) 的漏洞利用

重要的提示 ： 要了解 Elastic 当前如何评估我们产品中此漏洞的内部风险，请参阅此处

概述

这篇博文提供了 CVE-2021-44228 的摘要，并为 Elastic Security 用户提供了检测，以发现他们环境中对该漏洞的主动利用。

随着我们了解更多信息，我们将持续提供更多的更新。截至 2021 年 12 月 11 日星期六，此版本是准确的。可以通过Log4j2的安全页面直接调查来自 Apache 的更新。

CVE-2021-44228 (Log4Shell) 摘要

Log4j2 是一个开源日志框架，并被广泛的集成到最终用户系统和服务器上的许多基于 Java 的应用程序中。2021年11 月末，阿里巴巴的Chen Zhaojun发现了一个远程代码执行漏洞，最终被报告到 CVE：CVE-2021-44228，于 2021 年 12 月 10 日向公众发布。该漏洞是通过对传入框架的用户输入进行不当的反序列化而被利用的。它允许远程执行代码，并允许攻击者泄漏敏感数据，例如环境变量，或在目标系统上执行恶意软件。

该漏洞影响从 2.0-beta9 到 2.14.1 版本的所有 Log4j2 版本。早期修补该问题的方法导致了一些候选版本的出现，最终在本文发布时建议将框架升级到 Log4j2 2.15.0-rc2。

考虑到该日志库的已被广泛采用以及漏洞利用的复杂性，在任何已确定使用 Log4j2 易受攻击版本的软件环境中，缓解措施都应被视为至关重要。

使用Elastic Security检测对Log4Shell的漏洞利用

Elastic Security 用户可以使用以下事件关联检测规则来识别对 log4j2 漏洞的主动利用。

sequence by host.id with maxspan=1m
 [network where event.action == "connection_attempted