Si es posible, actualice a Log4j versión 2.15.0.

Si la actualización no es posible, asegúrese de que la propiedad del sistema -Dlog4j2.formatMsgNoLookups=true esté establecida. Usa este comando:

 java -Dlog4j2.formatMsgNoLookups=true -jar myapp.jar

También vale la pena leer sobre mitigación:

• Vulnerabilidad Log4J2 y Spring Boot
• Dentro de la vulnerabilidad Log4j2 (CVE-2021-44228)