Spring Framework のように log4j ライブラリを参照する API ライブラリを依存関係として使用している場合でも、log4j を参照する依存関係は脆弱なのでしょうか？
それは特定のケース、および log4j ライブラリのどの部分が使用されているかに依存します。log4j-core は脆弱ですが、log4j-api は脆弱ではありません。
最も包括的な結果を得るためには、 JFrog Xray のようなソフトウェア コンポジション アナリシス (SCA) スキャン ツールを使用して、すべてのソフトウェア依存関係における脆弱性を特定することをお勧めします。このスキャンは、当然 log4j に関連するものだけでなく、包括的に脆弱なコンポーネントを検出します。
それが叶わない場合、ソースコードとバイナリで log4j の利用を特定するために、JFrog がコミュニティのために作成した OSS ツールを使用できます（上記を参照）。