CVE-2026-34477
Açıklama
CVE-2025-68161 için yayınlanan düzeltme eksikti: ana bilgisayar adı doğrulaması yalnızca log4j2.sslVerifyHostName sistem özelliği aracılığıyla etkinleştirildiğinde ele alınmış, ancak <Ssl> öğesinin verifyHostName özniteliği üzerinden yapılandırıldığında ele alınmamıştır. verifyHostName yapılandırma özniteliği Log4j Core 2.12.0 sürümünde tanıtılmış olsa da, 2.25.3 dahil tüm sürümlerde sessizce yoksayılmıştır ve bu durum, yapılandırılan değerden bağımsız olarak TLS bağlantılarını araya girme saldırılarına karşı savunmasız bırakmıştır. Bir ağ tabanlı saldırgan, aşağıdaki koşulların tamamı karşılandığında bir ortadaki adam (man-in-the-middle) saldırısı gerçekleştirebilir: * Bir SMTP, Socket veya Syslog appender kullanımı söz konusudur. * TLS, iç içe geçmiş bir <Ssl> öğesi aracılığıyla yapılandırılmıştır. * Saldırgan, appender'ın yapılandırılmış güven deposu (trust store) tarafından veya herhangi biri yapılandırılmadıysa varsayılan Java güven deposu tarafından güvenilen bir CA tarafından düzenlenmiş bir sertifika sunabilir. Bu sorun, bu hatadan etkilenmeyen ve varsayılan olarak ana bilgisayar adlarını doğrulayan ayrı bir verifyHostname özniteliği kullanan HTTP appender kullanıcılarını etkilememektedir. Kullanıcıların, bu sorunu gideren Apache Log4j Core 2.25.4 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache log4j2.25.4 ya da sonraki bir sürüm
- org.apache.logging.log4j:log4j-core2.25.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4j | 2.12.0 ≤ v < 2.25.4, 3.0.0 | 2.25.4 |
| org.apache.logging.log4j:log4j-coreMaven | 2.12.0 ≤ v < 2.25.4, 3.0.0-alpha1 ≤ v ≤ 3.0.0-beta3 | 2.25.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.