CVE-2021-45105
Apache Log4j2 schützt nicht immer vor unendlicher Rekursion bei der Lookup-Auswertung
- Veröffentlicht
- 18.12.2021
- Aktualisiert
- 29.05.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 23.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:HHoch · nächste 30 Tage
- Perzentil
- 100,0 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Apache Log4j2 Versionen 2.0-alpha1 bis 2.16.0 (außer 2.12.3 und 2.3.1) waren nicht gegen unkontrollierte Rekursion durch selbstreferenzierende Lookups geschützt. Dies ermöglicht es einem Angreifer mit Kontrolle über die Thread-Context-Map-Daten, einen Denial-of-Service-Angriff auszuführen, wenn eine manipulierte Zeichenkette interpretiert wird. Dieses Problem wurde in Log4j 2.17.0, 2.12.3 und 2.3.1 behoben.
Quellen
PoC-Exploit für CVE-2021-45105 (Log4j2 DOS) mit Spring-Boot-Web-App, der eine Endlosschleife mittels präparierter HTTP-Header-/Body-Payloads demonstriert.
- Log4ShellRemediationForschung
Eine angreifbare Spring Boot-Anwendung, die log4j verwendet und für CVE-2021-44228, CVE-2021-44832, CVE-2021-45046 und CVE-2021-45105 anfällig ist.
# Beispiel-Webanwendung mit Spring Boot, anfällig für Log4j2 CVE-2021-45105, mit dokumentierten Ausnutzungsschritten und Minderungsanleitung für Sicherheitstests und Schulungszwecke.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.