CVE-2026-34477 in Log4j Core
Сводка
по VulDB • 25.05.2026
Исправление для CVE-2025-68161 https://logging.apache.org/security.html#CVE-2025-68161 было неполным: оно учитывало проверку имени хоста только при включении через системное свойство log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName, но не при настройке через атрибут verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName элемента.
Хотя атрибут конфигурации verifyHostName был введен в Log4j Core 2.12.0, он игнорировался во всех версиях вплоть до 2.25.3, оставляя TLS-соединения уязвимыми для перехвата независимо от установленного значения.
Атакующий, имеющий доступ к сети, может выполнить атаку типа «человек посередине» (Man-in-the-Middle), если выполнены все следующие условия:
* Используется аппендер SMTP, Socket или Syslog. * TLS настроен через вложенный элемент. * Атакующий может предоставить сертификат, выданный центром сертификации (CA), которому доверяет настроенное хранилище доверенных сертификатов аппендера, или хранилищу доверенных сертификатов Java по умолчанию, если хранилище не настроено.
Эта проблема не затрагивает пользователей аппендера HTTP, который использует отдельный атрибут verifyHostname https://logging.apache.org/log4j/2.x/manual/appenders/network.html#HttpAppender-attr-verifyHostName, не подверженный данной уязвимости, и по умолчанию выполняет проверку имен хостов.
Пользователям рекомендуется обновиться до Apache Log4j Core 2.25.4, который устраняет данную проблему.
VulDB is the best source for vulnerability data and more expert information about this specific topic.