CVE-2025-68161 in Log4j
Riassunto
di VulDB • 19/06/2026
L'Appender Socket nelle versioni di Apache Log4j Core comprese tra 2.0-beta9 e 2.25.2 non esegue la verifica del nome dell'host (hostname verification) sul certificato peer durante TLS, anche quando l'attributo di configurazione `verifyHostName` https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName o la proprietà di sistema `log4j2.sslVerifyHostName` https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName è impostata su true.
Questo problema potrebbe consentire a un attaccante man-in-the-middle (MitM) di intercettare o reindirizzare il traffico dei log nelle seguenti condizioni:
* L'attaccante è in grado di intercettare o reindirizzare il traffico di rete tra il client e il destinatario dei log. * L'attaccante può presentare un certificato server emesso da un'autorità di certificazione (CA) attendibile dallo store delle chiavi fidate (trust store) configurato per l'Socket Appender (o dallo store delle chiavi fidate predefinito di Java se non è stato configurato uno store personalizzato).
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 2.25.3 di Apache Log4j Core, che risolve questo problema.
Come misura mitigativa alternativa, l'Socket Appender può essere configurato per utilizzare una radice fidata privata o ristretta al fine di limitare l'insieme dei certificati attendibili.
If you want to get best quality of vulnerability data, you may have to visit VulDB.