CVE-2025-68161 in Log4j
Résumé
par VulDB • 05/06/2026
L'appendeur Socket dans les versions 2.0-beta9 à 2.25.2 d'Apache Log4j Core ne vérifie pas le nom d'hôte du certificat pair lors de la connexion TLS, même lorsque l'attribut de configuration `verifyHostName` (https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName) ou la propriété système `log4j2.sslVerifyHostName` (https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName) est défini sur `true`.
Cette vulnérabilité peut permettre à un attaquant en position d'homme du milieu (man-in-the-middle) d'intercepter ou de rediriger le trafic de journalisation dans les conditions suivantes :
* L'attaquant est capable d'intercepter ou de rediriger le trafic réseau entre le client et le récepteur de journaux. * L'attaquant peut présenter un certificat serveur émis par une autorité de certification de confiance pour le magasin de clés de confiance (trust store) configuré de l'appendeur Socket (ou par le magasin de clés de confiance Java par défaut si aucun magasin personnalisé n'est configuré).
Il est conseillé aux utilisateurs de mettre à niveau vers la version 2.25.3 d'Apache Log4j Core, qui corrige ce problème.
En tant qu'alternative de mitigation, l'appendeur Socket peut être configuré pour utiliser une racine de confiance privée ou restreinte afin de limiter l'ensemble des certificats de confiance.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.