log4j-test

مثال بسيط يوضح CVE-2021-44228 أثناء العمل

الشرح

• لإعادة إنتاج هذه المشكلة، أقوم بإزالة التبعية غير المباشرة للتسجيل من SpringBoot.
• بدلاً من ذلك، أقوم بإضافة spring-boot-starter-log4j2
• spring-boot-starter-log4j2 يجلب log4j-core الذي يحتوي على ثغرة تنفيذ التعليمات البرمجية عن بُعد (RCE).

تشغيل API

• إما تشغيل الأمر ./gradlew clean build bootRun في الطرفية أو
• انقر بزر الماوس الأيمن ثم اضغط run في Log4TestApplication.java.

ماذا يحدث عند تمرير قيمة JNDI؟