CVE-2026-34481
Açıklama
Apache Log4j'in JsonTemplateLayout bileşeni (https://logging.apache.org/log4j/2.x/manual/json-template-layout.html), 2.25.3 dahil önceki sürümlerde, günlük olayları RFC 8259 tarafından yasaklanan sonlu olmayan kayan noktalı değerler (NaN, Infinity veya -Infinity) içerdiğinde geçersiz JSON çıktısı üretmektedir. Bu durum, alt akıştaki günlük işleme sistemlerinin etkilenen kayıtları reddetmesine veya indeksleyememesine neden olabilir. Bir saldırgan bu sorunu yalnızca aşağıdaki iki koşulun her ikisi de karşılandığında istismar edebilir: * Uygulamanın JsonTemplateLayout kullanması. * Uygulamanın bir MapMessage günlüğünü tutması veya mesajın saldırgan kontrollü bir kayan noktalı değer içerdiği bir nesneyi doğrudan günlüğe kaydetmesi (örneğin, onu bir ObjectMessage içine alan Logger.info(Object) aracılığıyla). Kullanıcıların, bu sorunu düzelten Apache Log4j JSON Template Layout 2.25.4 sürümüne yükseltmeleri önerilir. Not: Sürüm 2.25.4 ile yayınlanan düzeltme, etkilenen tüm kod yollarını kapsamamıştır. Apache Log4j API içindeki MapMessage.asJson() serileştirmesiyle ilgili olan ve kalan sorun için CVE-2026-49844 atanmış olup; bu sorun 2.25.5 ve 2.26.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- apache log4j2.25.4 ya da sonraki bir sürüm
- org.apache.logging.log4j:log4j-layout-template-json2.25.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache log4j | 2.14.0 ≤ v < 2.25.4, 3.0.0 | 2.25.4 |
| org.apache.logging.log4j:log4j-layout-template-jsonMaven | 2.14.0 ≤ v < 2.25.4, 3.0.0-alpha1 ≤ v ≤ 3.0.0-beta3 | 2.25.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.