CVE-2026-34480
Təsvir
Apache Log4j Core-un XmlLayout komponenti 2.25.3 daxil olmaqla daha aşağı versiyalarda XML 1.0 spesifikasiyası tərəfindən qadağan edilmiş simvolları təmizləmir və loq mesajı və ya MDC dəyəri bu növ simvollar ehtiva etdikdə yanlış XML çıxışı yaradır. Təsir istifadə edilən StAX implementasiyasından asılıdır: * JRE daxili StAX: Qadağan olunmuş simvollar səssiz şəkildə çıxışa yazılır və deformasiya olunmuş XML yaradılır. Standarta uyğun parserlər belə sənədləri kritik xəta ilə rədd etməlidir ki, bu da növbəti loq emalı sistemlərinin təsirlənmiş qeydləri silməsinə səbəb ola bilər. * Alternativ StAX implementasiyaları (məsələn, Jackson XML Dataformat modulunun tranzitiv asılılığı olan Woodstox): Loqlama çağırışı zamanı istisna (exception) baş verir və loq hadisəsi hədəf appender-ə çatdırılmır, yalnız Log4j-nin daxili status loqqer-inə ötürülür. İstifadəçilərə qadağan olunmuş simvolları XML çıxışından əvvəl təmizləyərək bu problemi aradan qaldıran Apache Log4j Core 2.25.4 versiyasına yeniləmək tövsiyə olunur.
Necə düzəltmək olar
- apache log4j2.25.4 və ya daha yeni versiya
- org.apache.logging.log4j:log4j-core2.25.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache log4j | 2.0 ≤ v < 2.25.4, 3.0.0 | 2.25.4 |
| org.apache.logging.log4j:log4j-coreMaven | 2.0-alpha1 ≤ v < 2.25.4, 3.0.0-alpha1 ≤ v ≤ 3.0.0-beta3 | 2.25.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.