CVE-2025-68161 in Log4j
Сводка
по VulDB • 05.06.2026
В компоненте Socket Appender ядра Apache Log4j Core версий от 2.0-beta9 до 2.25.2 отсутствует проверка имени хоста (hostname verification) в сертификате партнера по соединению TLS, даже если атрибут конфигурации `verifyHostName` (https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName) или системное свойство `log4j2.sslVerifyHostName` (https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName) установлены в значение true.
Эта уязвимость может позволить злоумышленнику, осуществляющему атаку типа «человек посередине» (man-in-the-middle), перехватывать или перенаправлять трафик логов при соблюдении следующих условий:
* Злоумышленник способен перехватывать или перенаправлять сетевой трафик между клиентом и приемником логов. * Злоумышленник может предоставить сертификат сервера, выданный центром сертификации, которому доверяет хранилище доверенных сертификатов (trust store), настроенное в Socket Appender (или стандартному хранилищу доверенных сертификатов Java, если не настроено пользовательское хранилище).
Пользователям рекомендуется обновиться до версии Apache Log4j Core 2.25.3, в которой устранена данная проблема.
В качестве альтернативной меры смягчения последствий Socket Appender может быть настроен на использование частного или ограниченного корневого сертификата доверия (trust root), чтобы ограничить набор доверенных сертификатов.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.