CVE-2025-68161

Apache Log4j Core versiyalarının 2.0-beta9-dan 2.25.2-yə qədər olanlarında Socket Appender, verifyHostName konfiqurasiya atributu və ya log4j2.sslVerifyHostName sistem xüsusiyyəti true olaraq təyin edildiyi halda belə, qarşı tərəfin sertifikatının TLS host adı yoxlamasını həyata keçirmir. Bu problem aşağıdakı şərtlər daxilində "man-in-the-middle" hücumçusuna loq trafikini ələ keçirməyə və ya yönləndirməyə imkan verə bilər: * Hücumçu klient və loq qəbuledicisi arasındakı şəbəkə trafikini ələ keçirməyə və ya yönləndirməyə qadir olur. * Hücumçu Socket Appender-in konfiqurasiya edilmiş etibar deposu (trust store) və ya xüsusi etibar deposu təyin edilməyibsə standart Java etibar deposu tərəfindən etibarlı sayılan sertifikatlaşdırma orqanı tərəfindən verilmiş server sertifikatını təqdim edə bilir. İstifadəçilərə bu problemi aradan qaldıran Apache Log4j Core versiya 2.25.3-ə yeniləməkləri tövsiyə olunur. Alternativ tədbir kimi, etibarlı sertifikatların siyahısını məhdudlaşdırmaq üçün Socket Appender şəxsi və ya məhdudlaşdırılmış etibar kökü (trust root) istifadə edəcək şəkildə konfiqurasiya edilə bilər.