CVE-2021-45105
Apache Log4j2 non sempre protegge dalla ricorsione infinita nella valutazione dei lookup
- Pubblicato
- 18 dic 2021
- Aggiornato
- 29 mag 2026
- Assegnazione CNA
- apache
- Evidenza osservata
- 23 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:HAlto · prossimi 30 giorni
- Percentile
- 100,0%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Le versioni di Apache Log4j2 dalla 2.0-alpha1 alla 2.16.0 (escluse la 2.12.3 e la 2.3.1) non proteggevano dalla ricorsione incontrollata derivante da lookup autoreferenziali. Ciò consente a un attaccante con il controllo dei dati della Thread Context Map di causare un denial of service quando viene interpretata una stringa appositamente costruita. Il problema è stato corretto in Log4j 2.17.0, 2.12.3 e 2.3.1.
Fonti
Exploit PoC per CVE-2021-45105 (DOS Log4j2) con un'app web Spring Boot, che dimostra un loop infinito tramite payload HTTP creati ad arte nell'header/body.
- Log4ShellRemediationRicerca
Un'applicazione Spring Boot vulnerabile che utilizza log4j ed è vulnerabile a CVE-2021-44228, CVE-2021-44832, CVE-2021-45046 e CVE-2021-45105
Applicazione web Spring Boot di esempio vulnerabile a Log4j2 CVE-2021-45105 con passaggi di sfruttamento documentati e linee guida di mitigazione per test di sicurezza e formazione.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.