CVE-2026-34480
Açıklama
Apache Log4j Core'un XmlLayout bileşeni, 2.25.3 dahil önceki sürümlerde, XML 1.0 spesifikasyonu tarafından yasaklanan karakterleri temizlemeyi başaramaz; bu durum, bir günlük mesajı veya MDC değeri söz konusu karakterleri içerdiğinde geçersiz XML çıktısı üretilmesine neden olur. Etki, kullanılan StAX uygulamasına bağlıdır: * JRE yerleşik StAX: Yasaklı karakterler sessizce çıktıya yazılır ve hatalı biçimlendirilmiş XML üretilir. Standartlara uygun ayrıştırıcılar bu tür belgeleri kritik bir hata ile reddetmelidir, bu da alt akıştaki günlük işleme sistemlerinin etkilenen kayıtları düşürmesine neden olabilir. * Alternatif StAX uygulamaları (örneğin, Jackson XML Dataformat modülünün geçişli bağımlılığı olan Woodstox): Günlükleme çağrısı sırasında bir istisna fırlatılır ve günlük olayı hedeflenen ekleyiciye asla iletilmez, yalnızca Log4j'nin dahili durum günlüğüne iletilir. Kullanıcıların, yasaklı karakterleri XML çıktısından önce temizleyerek bu sorunu gideren Apache Log4j Core 2.25.4 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache log4j2.25.4 ya da sonraki bir sürüm
- org.apache.logging.log4j:log4j-core2.25.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4j | 2.0 ≤ v < 2.25.4, 3.0.0 | 2.25.4 |
| org.apache.logging.log4j:log4j-coreMaven | 2.0-alpha1 ≤ v < 2.25.4, 3.0.0-alpha1 ≤ v ≤ 3.0.0-beta3 | 2.25.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.