log4j2 のリモートコード実行 (CVE-2021-44228) の簡単なまとめ

必要条件

• maven >= 3
• java >= 8
• 127.0.0.1:1389 で ldap が実行されていないこと

使用方法

maven でビルドします。

mvn test

surefire プラグインは2回実行されます：

• ExploitabilityTest はバグの悪用可能性を証明します。

• MitigationTest は VM プロパティ -Dlog4j2.formatMsgNoLookups=true を指定して実行され、緩和策の有効性を証明します。

要するに

log4j と log4j2

log4j2 は log4j 1.x では__ありません__。両者はどちらもロギングフレームワークですが、API に互換性はありません。log4j 1.x はこのバグの影響を受けませんが、 別のセキュリティ上の欠陥がある可能性があります。

エクスプロイト

• log4j2 は、フォーマット文字列と引数の両方でルックアップパターン ( ) を評価します。そのため、外部からの入力がログに記録されると、 そのようなパターンが追加され、log4j2 はそれらを評価します。