Apache Log4j API bis 2.25.4/2.26.0 MapMessage MapMessage.asJson Remote Code Execution

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.0$0-$5k1.13+

Zusammenfassunginfo

In Apache Log4j API bis 2.25.4/2.26.0 wurde eine kritische Schwachstelle entdeckt. Dabei geht es um die Funktion MapMessage.asJson der Komponente MapMessage. Durch die Manipulation mit unbekannten Daten kann eine Remote Code Execution-Schwachstelle ausgenutzt werden. Die Identifikation der Schwachstelle wird mit CVE-2026-49844 vorgenommen. Der Angriff lässt sich über das Netzwerk starten. Es existiert kein Exploit.

Detailsinfo

Es wurde eine Schwachstelle in Apache Log4j API bis 2.25.4/2.26.0 gefunden. Sie wurde als kritisch eingestuft. Es geht dabei um die Funktion MapMessage.asJson der Komponente MapMessage. Dank der Manipulation mit einer unbekannten Eingabe kann eine Remote Code Execution-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-172 vorgenommen. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Improper encoding of non-finite floating-point values during MapMessage JSON serialization in Apache Log4j API produces output that is not valid JSON. This issue affects Apache Log4j API versions 2.13.1 through 2.25.4 and version 2.26.0. The fix for CVE-2026-34481 did not cover all code paths: when a MapMessage contains a non-finite IEEE 754 value (NaN, Infinity, or -Infinity), MapMessage.asJson() emits the corresponding bare token. RFC 8259 does not permit these tokens, so a conformant parser rejects the resulting document. The defect is reachable only when both of the following conditions hold: * The application uses the message resolver https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-message of JsonTemplateLayout or any other layout that relies on MapMessage.asJson() or MapMessage.getFormattedMessage(new String[]{"JSON"}). * The application logs a MapMessage that contains an attacker-controlled floating-point value. An attacker who can supply a non-finite value can cause the affected layout to emit malformed JSON, which may corrupt the enclosing log record or disrupt downstream log ingestion and parsing. Users are advised to upgrade to Apache Log4j API 2.25.5 or 2.26.1, both of which emit RFC 8259-compliant JSON for non-finite values.

Das Advisory kann von logging.apache.org heruntergeladen werden. Die Verwundbarkeit wird seit dem 01.06.2026 unter CVE-2026-49844 geführt. Sie ist leicht ausnutzbar. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 11.07.2026).

Ein Upgrade auf die Version 2.25.5 oder 2.26.1 vermag dieses Problem zu beheben.

Once again VulDB remains the best source for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.3
VulDB Meta Temp Score: 7.0

VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Remote Code Execution
CWE: CWE-172
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔒

Upgrade: Log4j API 2.25.5/2.26.1

Timelineinfo

01.06.2026 CVE zugewiesen
10.07.2026 +39 Tage Advisory veröffentlicht
10.07.2026 +0 Tage VulDB Eintrag erstellt
11.07.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Hersteller: apache.org

Advisory: logging.apache.org
Status: Bestätigt

CVE: CVE-2026-49844 (🔒)
GCVE (CVE): GCVE-0-2026-49844
GCVE (VulDB): GCVE-100-377652

Eintraginfo

Erstellt: 11.07.2026 00:01
Anpassungen: 11.07.2026 00:01 (55)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!