CVE-2026-34479
Təsvir
Apache Log4j 1-dən Log4j 2-yə körpüsünün (bridge) Log4j1XmlLayout komponenti XML 1.0 standartı tərəfindən qadağan edilmiş simvolları düzgün şəkildə escape etmir və nəticədə yanlış formatlanmış XML çıxışı yaradır. Standarta uyğun XML parserləri belə simvollar ehtiva edən sənədləri kritik xəta ilə rədd etməlidir ki, bu da aşağı axındakı loq emalı sistemlərinin təsirlənmiş qeydləri silməsinə və ya indeksləyə bilməməsinə səbəb ola bilər. İki istifadəçi qrupu bundan təsirlənir: * Log4j1XmlLayout-dan birbaşa Log4j Core 2 konfiqurasiya faylında istifadə edənlər. * Layout sinfi kimi org.apache.log4j.xml.XMLLayout təyin olunmuş Log4j 1 konfiqurasiya uyğunluq təbəqəsindən istifadə edənlər. İstifadəçilərə bu problemi aradan qaldıran Apache Log4j 1-dən Log4j 2-yə körpüsünün 2.25.4 versiyasına yeniləməkləri tövsiyə olunur. Qeyd: Apache Log4j 1-dən Log4j 2-yə körpüsü artıq köhnəlmişdir (deprecated) və Log4j 3-də mövcud olmayacaq. İstifadəçilərə Log4j 1-dən Log4j 2-yə miqrasiya bələdçisinə https://logging.apache.org/log4j/2.x/migrate-from-log4j1.html və xüsusilə körpüyə olan asılılığın aradan qaldırılması bölməsinə müraciət etməkləri tövsiyə olunur.
Necə düzəltmək olar
- apache log4j2.25.4 və ya daha yeni versiya
- org.apache.logging.log4j:log4j-core2.25.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache log4j | 2.7 ≤ v < 2.25.4, 3.0.0 | 2.25.4 |
| org.apache.logging.log4j:log4j-coreMaven | 2.7 ≤ v < 2.25.4, 3.0.0-beta1 ≤ v ≤ 3.0.0-beta2 | 2.25.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.