CVE-2021-45105
Apache Log4j2 не всегда защищает от бесконечной рекурсии при вычислении lookup
- Опубликовано
- 18 дек. 2021 г.
- Обновлено
- 29 мая 2026 г.
- Назначение CNA
- apache
- Наблюдены доказательства
- 23 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:HВысокий · следующие 30 дней
- Процентиль
- 100,0 %
- Дата модели
- 17 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Apache Log4j2 версии с 2.0-alpha1 по 2.16.0 (за исключением 2.12.3 и 2.3.1) не были защищены от неконтролируемой рекурсии, вызванной самоссылающимися подстановками. Это позволяет атакующему, контролирующему данные Thread Context Map, вызвать отказ в обслуживании при обработке специально сформированной строки. Проблема была исправлена в Log4j 2.17.0, 2.12.3 и 2.3.1.
Источники
PoC-эксплойт для CVE-2021-45105 (Log4j2 DOS) с веб-приложением Spring Boot, демонстрирующий бесконечный цикл через специально созданные полезные нагрузки HTTP-заголовков/тела запроса.
- Log4ShellRemediationИсследования
Уязвимое приложение Spring Boot, которое использует log4j и подвержено CVE-2021-44228, CVE-2021-44832, CVE-2021-45046 и CVE-2021-45105.
Пример веб-приложения на Spring Boot, уязвимого к Log4j2 CVE-2021-45105, с документированными шагами эксплуатации и рекомендациями по устранению уязвимости для тестирования безопасности и обучения.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.