PT-2026-31940 · Apache · Log4J Core
Samuli Leinonen
·
Publicado
2025-12-25
·
Atualizado
2026-06-05
·
CVE-2026-34478
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Name of the Vulnerable Software and Affected Versions
Apache Log4j Core versões 2.21.0 até 2.25.3
Description
O componente Rfc5424Layout está suscetível a injeção de log via sequências CRLF (Carriage Return Line Feed). Isso ocorre porque atributos de configuração relevantes para a segurança foram renomeados sem documentação, afetando usuários de serviços syslog baseados em fluxo que configuram o Rfc5424Layout diretamente. Especificamente, a renomeação do atributo
newLineEscape desativa a escape de nova linha para enquadramento TCP (RFC 6587), e a renomeação do atributo useTlsMessageFormat faz com que o enquadramento TLS (RFC 5425) seja rebaixado para TCP não enquadrado (RFC 6587) sem escape de nova linha. Isso pode permitir que um invasor remoto impacte a integridade das informações de log protegidas.Recommendations
Atualizar para a versão 2.25.4.
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Log4J Core