CVE-2026-34477 in Log4j Core
Sumário
de VulDB • 25/05/2026
A correção para o CVE-2025-68161 https://logging.apache.org/security.html#CVE-2025-68161 estava incompleta: ela abordava a verificação do nome do host apenas quando habilitada por meio da propriedade do sistema log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName, mas não quando configurada por meio do atributo verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName do elemento.
Embora o atributo de configuração verifyHostName tenha sido introduzido no Log4j Core 2.12.0, ele foi ignorado silenciosamente em todas as versões até a 2.25.3, deixando as conexões TLS vulneráveis a interceptação, independentemente do valor configurado.
Um atacante baseado em rede pode ser capaz de realizar um ataque de intermediário (man-in-the-middle) quando todas as seguintes condições forem atendidas:
* Um appender SMTP, Socket ou Syslog está em uso. * O TLS está configurado por meio de um elemento aninhado. * O atacante pode apresentar um certificado emitido por uma CA confiada pelo repositório de confiança configurado do appender, ou pelo repositório de confiança padrão do Java, caso nenhum esteja configurado.
Este problema não afeta os usuários do appender HTTP, que utiliza um atributo verifyHostname https://logging.apache.org/log4j/2.x/manual/appenders/network.html#HttpAppender-attr-verifyHostName separado, que não estava sujeito a este bug e verifica os nomes de host por padrão.
Recomenda-se que os usuários atualizem para o Apache Log4j Core 2.25.4, que corrige este problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.