CVE-2021-45105
मध्यमप्रकाशित
Apache Log4j2 लुकअप मूल्यांकन में अनंत पुनरावृत्ति से हमेशा सुरक्षा प्रदान नहीं करता
- प्रकाशित
- 18 दिस॰ 2021
- अद्यतन
- 29 मई 2026
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 23 अग॰ 2026
प्राथमिक सीवीएसएस
5.9/ 10मध्यम
Apache Log4j2 लुकअप मूल्यांकन में अनंत पुनरावृत्ति से हमेशा सुरक्षा प्रदान नहीं करता
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:Hउच्च · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
Apache Log4j2 संस्करण 2.0-alpha1 से 2.16.0 (2.12.3 और 2.3.1 को छोड़कर) स्व-संदर्भित लुकअप से अनियंत्रित पुनरावृत्ति (recursion) से सुरक्षा प्रदान नहीं करते थे। यह एक हमलावर को Thread Context Map डेटा पर नियंत्रण रखते हुए, क्राफ्टेड स्ट्रिंग की व्याख्या होने पर denial of service उत्पन्न करने की अनुमति देता है। यह समस्या Log4j 2.17.0, 2.12.3, और 2.3.1 में ठीक की गई थी।
CVE-2021-45105 (Log4j2 DOS) के लिए PoC एक्सप्लॉइट, Spring Boot वेब ऐप के साथ, विशेष रूप से तैयार किए गए HTTP हेडर/बॉडी पेलोड के माध्यम से अनंत लूप का प्रदर्शन करता है।
एक असुरक्षित Spring Boot एप्लिकेशन जो log4j का उपयोग करता है और CVE-2021-44228, CVE-2021-44832, CVE-2021-45046 तथा CVE-2021-45105 के प्रति संवेदनशील है।
स्प्रिंग बूट वेब एप्लिकेशन का नमूना जो Log4j2 CVE-2021-45105 के प्रति संवेदनशील है, जिसमें सुरक्षा परीक्षण और शिक्षा के लिए दस्तावेजी शोषण चरण और शमन मार्गदर्शन शामिल है।
फ़ाइल-सिस्टम स्कैनर जो संकलित जावा क्लासेज़ (nested archives सहित) का विश्लेषण करके कमजोर Log4J संस्करणों (CVE-2021-44228, CVE-2021-45046) का पता लगाता है। लिनक्स, विंडोज़ और मैक पर काम करता है।
log4j2 DoS शोषण, CVE-2021-45105 शोषण, सेवा अस्वीकृति PoC
# Log4j2 CVE-2021-45105 के प्रति जानबूझकर संवेदनशील नमूना Spring Boot एप्लिकेशन जो कि शोषण का अभ्यास करने और क्राफ्टेड HTTP हेडर के माध्यम से अनंत लूप डिनायल-ऑफ-सर्विस को समझने के लिए है।
CVE-2021-45105 का पुनरुत्पादन
BigFix Fixlets और analyses प्रदान करता है जो Windows और Linux सिस्टम पर Log4j कमजोरियों (CVE-2021-44228, CVE-2021-45046, CVE-2021-45105) का पता लगाने के लिए हैं, जिसमें triage और remediation के लिए कई detection विधियाँ शामिल हैं।
फ़ाइल सिस्टम को तेज़ी से स्कैन करें ताकि उन Java प्रोग्रामों का पता लगाया जा सके जो Log4Shell (CVE-2021-44228) या 'that Log4j JNDI exploit' के लिए संभावित रूप से संवेदनशील हैं, फ़ाइलों के अंदर क्लास पाथ की जाँच करके।
AWS के साथ Log4Shell डेमो
CVE-2021-44228 (Log4Shell) का शैक्षिक विश्लेषण, जिसमें PoC स्क्रिप्ट्स, हमले के वेक्टर का विवरण, और Apache Log4j में महत्वपूर्ण RCE कमजोरी को समझने और परीक्षण करने के लिए शमन मार्गदर्शन शामिल है।
Log4Shell (CVE-2021-44228): विवरण, शोषण और शमन
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।