CVE-2021-45105
Apache Log4j2 ne protège pas toujours contre la récursion infinie lors de l'évaluation des lookups
- Publié
- 18 déc. 2021
- Mise à jour
- 29 mai 2026
- Attribution de CNA
- apache
- Preuve observée
- 23 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:HÉlevé · 30 prochains jours
- Percentile
- 100,0 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Les versions 2.0-alpha1 à 2.16.0 d'Apache Log4j2 (à l'exception de 2.12.3 et 2.3.1) ne protégeaient pas contre la récursion incontrôlée provenant de recherches autoréférentielles. Cela permet à un attaquant ayant le contrôle des données du Thread Context Map de provoquer un déni de service lorsqu'une chaîne spécialement conçue est interprétée. Ce problème a été corrigé dans Log4j 2.17.0, 2.12.3 et 2.3.1.
Sources
Exploit PoC pour CVE-2021-45105 (Log4j2 DOS) avec une application web Spring Boot, démontrant une boucle infinie via des charges utiles d'en-tête/corps HTTP fabriquées.
- Log4ShellRemediationRecherche
Une application Spring Boot vulnérable qui utilise log4j et est vulnérable à CVE-2021-44228, CVE-2021-44832, CVE-2021-45046 et CVE-2021-45105
Exemple d'application web Spring Boot vulnérable à Log4j2 CVE-2021-45105 avec étapes d'exploitation documentées et conseils d'atténuation pour les tests de sécurité et l'éducation.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.