CVE-2025-68161 in Log4j
Tóm tắt
Bởi VulDB • 08/06/2026
Phần phụ trợ Socket (Socket Appender) trong Apache Log4j Core các phiên bản từ 2.0-beta9 đến 2.25.2 không thực hiện xác minh tên máy chủ TLS của chứng chỉ đối tác, ngay cả khi thuộc tính cấu hình `verifyHostName` tại https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostName hoặc thuộc tính hệ thống `log4j2.sslVerifyHostName` tại https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName được đặt thành true.
Vấn đề này có thể cho phép kẻ tấn công thực hiện cuộc tấn công man-in-the-middle (MITM) để chặn hoặc chuyển hướng lưu lượng nhật ký trong các điều kiện sau:
* Kẻ tấn công có khả năng chặn hoặc chuyển hướng lưu lượng mạng giữa máy khách và bộ nhận nhật ký. * Kẻ tấn công có thể cung cấp chứng chỉ máy chủ do một cơ quan chứng thực phát hành, cơ quan này được kho tin cậy (trust store) đã cấu hình của Socket Appender tin tưởng (hoặc được kho tin cậy mặc định của Java tin tưởng nếu không có kho tin cậy tùy chỉnh nào được cấu hình).
Người dùng được khuyến nghị nâng cấp lên Apache Log4j Core phiên bản 2.25.3, phiên bản khắc phục vấn đề này.
Như một biện pháp giảm thiểu thay thế, Socket Appender có thể được cấu hình để sử dụng gốc tin cậy (trust root) riêng hoặc hạn chế nhằm giới tập hợp các chứng chỉ đáng tin cậy.
Be aware that VulDB is the high quality source for vulnerability data.