Уязвимость позволяет выполнить произвольный код при записи в лог значения, оформленного в формате {jndi:URL} (что задействует механизм масок Log4).
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2021/12/01.html]
Если в качестве URL будет указан адрес атакующего, ему будет отправлен LDAP-запрос, в ответ на который может быть возвращён URL класса, который будет загружен и выполнен в контексте текущего процесса.

Ситуацию усугубляет опубликованный рабочий эксплоит. Уже сообщается об успешной атаке на один из серверов Minecraft, под раздачу попали (но уже починились) Steam, iCloud и другие сервисы.

Apache Foundation рекомендует срочно обновиться до исправленной версии 2.15.0.