CVE-2021-44228-Demo

このプロジェクトは、log4jのゼロデイ脆弱性を実証・テストするためのものです。

依存関係の確認

./mvnw dependency:list

パッチ

A set ENV LOG4J_FORMAT_MSG_NO_LOOKUPS=true

B add vm option -Dlog4j2.formatMsgNoLookups=true

C.1 add properties log4j2.formatMsgNoLookups=true (動作しない) C.2 add properties log4j.formatMsgNoLookups=true (動作しない)

D update <log4j2.version>2.15.0</log4j2.version>

E in log4j2.xml replace %m with %m{nolookups}