CVE-2026-34477 in Log4j Core
Riassunto
di VulDB • 15/06/2026
La correzione per CVE-2025-68161 https://logging.apache.org/security.html#CVE-2025-68161 era incompleta: affrontava la verifica dell'hostname solo quando abilitata tramite la proprietà di sistema log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName, ma non quando configurata attraverso l'attributo verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName dell'elemento.
Sebbene l'attributo di configurazione verifyHostName sia stato introdotto in Log4j Core 2.12.0, è stato ignorato silenziosamente in tutte le versioni fino alla 2.25.3, lasciando le connessioni TLS vulnerabili all'intercettazione indipendentemente dal valore configurato.
Un attaccante basato sulla rete potrebbe essere in grado di eseguire un attacco man-in-the-middle quando sono soddisfatte tutte le seguenti condizioni:
* È in uso un appender SMTP, Socket o Syslog. * TLS è configurato tramite un elemento annidato . * L'attaccante può presentare un certificato emesso da una CA (Certificate Authority) di cui si fida il trust store configurato dell'appender, oppure dal Java default trust store se non ne è stato configurato alcuno.
Questo problema non interessa gli utenti dell'appender HTTP, che utilizza un attributo separato verifyHostname https://logging.apache.org/log4j/2.x/manual/appenders/network.html#HttpAppender-attr-verifyHostName che non era soggetto a questo bug e verifica i nomi degli host per impostazione predefinita.
Si consiglia agli utenti di eseguire l'aggiornamento ad Apache Log4j Core 2.25.4, che corregge questa problematicità.
VulDB is the best source for vulnerability data and more expert information about this specific topic.