CVE-2021-45046: Apache Log4j2 Thread Context Message Pattern 및 Context Lookup Pattern, 서비스 거부 공격에 취약 | Kitploit

CVE-2021-45046

위험게시됨

Apache Log4j2 Thread Context Message Pattern 및 Context Lookup Pattern, 서비스 거부 공격에 취약

게시됨: 2021. 12. 14.
업데이트됨: 2025. 10. 21.
CNA 할당 중: apache
증거 관찰됨: 2023. 5. 1.

기본 CVSS

9.0/ 10위험

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

EPSS 확률 추정

100.0%

높음 · 다음 30일

백분위수: 100.0%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

악용된 것으로 알려진 CISA

이 CVE는 CISA 알려진 악용 취약점 카탈로그에 나타납니다.

요약

Apache Log4j 2.15.0에서 CVE-2021-44228을 해결하기 위한 수정이 특정 비기본 구성에서 불완전한 것으로 발견되었습니다. 이로 인해 로깅 구성이 비기본 Pattern Layout과 함께 Context Lookup(예: `$${ctx:loginId}`) 또는 Thread Context Map 패턴(`%X`, `%mdc`, `%MDC`) 중 하나를 사용할 때 Thread Context Map(MDC) 입력 데이터를 제어할 수 있는 공격자가 JNDI Lookup 패턴을 사용하여 악성 입력 데이터를 제작할 수 있으며, 일부 환경에서는 정보 유출 및 원격 코드 실행, 모든 환경에서는 로컬 코드 실행을 초래할 수 있습니다. Log4j 2.16.0 (Java 8) 및 2.12.2 (Java 7)은 메시지 조회 패턴에 대한 지원을 제거하고 JNDI 기능을 기본적으로 비활성화하여 이 문제를 해결합니다.

소스

Log4j_CVE-2021-45046PoC
Log4j 2.15.0 권한 상승 -- CVE-2021-45046
Log4ShellRemediation연구
log4j를 사용하며 CVE-2021-44228, CVE-2021-44832, CVE-2021-45046 및 CVE-2021-45105에 취약한 Spring Boot 애플리케이션
cve-2021-45046PoC
Proof-of-concept demonstrating CVE-2021-45046 (Log4j DoS) with test cases for infinite loops, illegal argument exceptions, and system info exposure via JNDI lookups.

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.