CVE-2025-68161 in Log4j
要約
〜によって VulDB • 2026年06月05日
Apache Log4j Core のバージョン 2.0-beta9 から 2.25.2 における Socket Appender は、`verifyHostName` 設定属性（https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName）または `log4j2.sslVerifyHostName` システムプロパティ（https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName）が true に設定されている場合でも、ピア証明書の TLS ホスト名検証を実行しません。
この問題は、以下の条件が満たされる場合、中間者攻撃者がログトラフィックの傍受またはリダイレクトを可能にする可能性があります。
* 攻撃者がクライアントとログ受信者の間のネットワークトラフィックを傍受またはリダイレクトできること。 * 攻撃者が、Socket Appender の構成済み信頼ストア（カスタム信頼ストアが構成されていない場合はデフォルトの Java 信頼ストア）によって信頼される認証局によって発行されたサーバー証明書を提示できること。
この問題を解決するため、Apache Log4j Core バージョン 2.25.3 へのアップグレードを推奨します。
代替の緩和策として、信頼される証明書のセットを制限するために、Socket Appender をプライベートまたは制限された信頼ルートを使用するように構成することができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.