cve-2021-45046

تم تصحيح ثغرة log4j RCE (CVE-2021-44228) في الإصدار 2.15، ولكن تم اكتشاف ثغرة جديدة CVE-2021-45046 (تسبب DoS).
فيما يلي نتائج الاختبار.

[بيئة الاختبار] log4j-2.15.0 (api , core) JRE-1.8.0 jdk1.8.0_151 Eclipse IDE (Maven Project)

1. اختبار بناء جملة Log4j RCE (CVE-2021-44228) -> ليس ثغرة

2. إدراج اسم كائن ctx عشوائي -> ليس ثغرة

3. عند الإدراج بنفس اسم الكائن الذي يستقبل السياق -> حدوث DoS بسبب حلقة لا نهائية

4. إدراج على شكل ${jndi:ldap://127.0.0.1#[ldap 서버 주소]} -> يحدث UnknownHostException، لا يحدث DoS

5. شكل jndi:ldap://[ldap서버]#[ldap서버] -> ليس ثغرة

6. إدراج كود Java -> يحدث DoS بسبب illegalArgumentException

7-1. إدراج بناء جملة Java -> كشف معلومات النظام

7-2. إدراج بناء جملة Java -> يحدث illegalArgumentException، DoS

-> عند التحقق من نقطة حدوث illegalArgumentException، يبدو أن بناء جملة Java الذي يمكن أن يكشف معلومات النظام في 2-5 (${java:version}) هو روتين مقصود في عبارة Switch case.