CVE-2026-34479
Açıklama
Apache Log4j 1-to-Log4j 2 köprüsündeki Log4j1XmlLayout, XML 1.0 standardı tarafından yasaklanan karakterleri kaçırmayı başaramayarak hatalı biçimlendirilmiş XML çıktısı üretmektedir. Standartlara uygun XML ayrıştırıcılarının, bu tür karakterler içeren belgeleri kritik bir hata ile reddetmesi gerekir; bu durum, alt akıştaki günlük işleme sistemlerinin etkilenen kayıtları düşürmesine veya indeksleyememesine neden olabilir. İki kullanıcı grubu etkilenmektedir: * Log4j1XmlLayout'yu doğrudan bir Log4j Core 2 yapılandırma dosyasında kullananlar. * Layout sınıfı olarak org.apache.log4j.xml.XMLLayout belirtilmiş olan Log4j 1 yapılandırma uyumluluk katmanını kullananlar. Kullanıcıların, bu sorunu düzelten Apache Log4j 1-to-Log4j 2 köprüsü sürüm 2.25.4'e yükseltmeleri önerilir. Not: Apache Log4j 1-to-Log4j 2 köprüsü kullanımdan kaldırılmıştır ve Log4j 3'te yer almayacaktır. Kullanıcıların Log4j 1'den Log4j 2'ye geçiş kılavuzuna https://logging.apache.org/log4j/2.x/migrate-from-log4j1.html ve özellikle köprü bağımlılığının ortadan kaldırılmasıyla ilgili bölüme göz atmaları teşvik edilmektedir.
Nasıl düzeltilir
- apache log4j2.25.4 ya da sonraki bir sürüm
- org.apache.logging.log4j:log4j-core2.25.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4j | 2.7 ≤ v < 2.25.4, 3.0.0 | 2.25.4 |
| org.apache.logging.log4j:log4j-coreMaven | 2.7 ≤ v < 2.25.4, 3.0.0-beta1 ≤ v ≤ 3.0.0-beta2 | 2.25.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.