Apache · Apache Log4J Core · CVE-2025-68161
**Nome do Software Vulnerável e Versões Afetadas**
Apache Log4j Core versões 2.0-beta9 até 2.25.2
**Descrição**
O Socket Appender no Apache Log4j Core não verifica o nome do host do certificado da contraparte durante conexões TLS, mesmo quando configurado para tal. Isso poderia permitir que um atacante do tipo man-in-the-middle interceptasse ou redirecionasse o tráfego de logs se pudesse apresentar um certificado válido confiado pelo sistema. O atacante precisa ser capaz de interceptar o tráfego de rede entre o cliente e o receptor de logs e possuir um certificado emitido por uma autoridade de certificação confiável.
**Recomendações**
Atualize para o Apache Log4j Core versão 2.25.3.
Como alternativa, configure o Socket Appender para usar uma raiz de confiança privada ou restrita, a fim de limitar o conjunto de certificados confiáveis.