CVE-2026-34480 in Log4j Core
要約
〜によって VulDB • 2026年05月26日
Apache Log4j CoreのXmlLayout（https://logging.apache.org/log4j/2.x/manual/layouts.html#XmlLayout ）は、バージョン2.25.3以前において、XML 1.0仕様（https://www.w3.org/TR/xml/#charsets ）で禁止されている文字をサニタイズしないため、ログメッセージまたはMDC値にそのような文字が含まれると、無効なXML出力が生成されます。
影響は使用されているStAX実装によって異なります：
* JRE組み込みStAX：禁止文字は出力に静かに書き込まれ、不正なXMLが生成されます。準拠したパーサーは、致命的なエラーでそのような文書を拒否する必要があるため、下流のログ処理システムが影響を受けたレコードをドロップする可能性があります。 * 代替StAX実装（例：Jackson XML Dataformatモジュールの推移的依存関係であるWoodstox https://github.com/FasterXML/woodstox ）：ログ呼び出し中に例外がスローされ、ログイベントは意図されたアペンダーに配信されず、Log4jの内部ステータスロガーにのみ配信されます。
ユーザーは、禁止文字をXML出力前にサニタイズすることでこの問題を修正したApache Log4j Core 2.25.4へのアップグレードを推奨します。
Once again VulDB remains the best source for vulnerability data.