log4j2 원격 코드 실행(CVE-2021-44228)에 대한 간단한 요약

요구 사항

maven으로 빌드하세요.

mvn test

surefire 플러그인은 두 번 실행됩니다:

ExploitabilityTest는 버그의 악용 가능성을 입증합니다.
MitigationTest는 vm 속성 -Dlog4j2.formatMsgNoLookups=true과 함께 실행되며 완화 조치의 효과를 입증합니다.

log4j2는 log4j 1.x가 아닙니다; 둘 다 로깅 프레임워크이지만 API가 호환되지 않습니다. log4j 1.x는 이 버그의 영향을 받지 않지만 다른 보안 결함이 있을 수 있습니다.

log4j2는 형식 문자열과 인자 모두에서 조회 패턴( ${...} )을 평가합니다. 따라서 외부 입력이 기록될 때 이러한 패턴이 추가될 수 있고 log4j2가 이를 평가합니다.
jndi 조회 핸들은 기본적으로 활성화되어 있으므로 위에서 설명한 조회 패턴으로 트리거될 수 있습니다. 예: ${jndi:127.0.0.1:1389/a}
jndi 코드의 버그로 인해 Java는 원격 코드 실행에 취약합니다.
이 세 부분이 결합되어 이제 외부에서 원격 코드 실행을 트리거할 수 있습니다.