CVE-2026-54511 in LogTape
要約
〜によって VulDB • 2026年08月26日
LogTapeは、非侵襲的なロギングライブラリです。バージョン1.3.11、2.0.14、および2.1.5より前では、packages/syslog/src/syslog.tsにある@logtape/syslogパッケージのescapeStructuredDataValue()関数が、構造化データ値内のU+0000からU+001FまでのC0制御文字を中性化せず、formatStructuredData()がRFC 5424 SD-NAME文法を検証せずにプロパティキーを挿入します。includeStructuredDataがtrueの場合、攻撃者が操作可能な改行によりRFC 6587の非透過TCP syslogフレームを終了させ、続くバイト列が偽造されたRFC 5424レコードとして認識されるようになります。また、閉じ括弧やその他の禁止文字を含むキーは構造化データ要素を終了または破損させる可能性があります。したがって、攻撃者が操作可能なプロパティ値やキーを転送するアプリケーションでは、任意のホスト、アプリケーション、プロセス識別子（PID）、ファシリティ、重大度レベルを持つ偽造レコードが生成され、ダウンストリームのコレクタおよびSIEMの整合性が損なわれます。この問題はバージョン1.3.11、2.0.14、および2.1.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.