Apache Log4j Core: log injection in `Rfc5424Layout` due to silent configuration incompatibility
Apache Log4j Core's Rfc5424Layout, in versions 2.21.0 through 2.25.3, is vulnerable to log injection via CRLF sequences due to undocumented renames of security-relevant configuration attributes.
Two distinct issues affect users of stream-based syslog services who configure Rfc5424Layout directly:
- The
newLineEscapeattribute was silently renamed, causing newline escaping to stop working for users of TCP framing (RFC 6587), exposing them to CRLF injection in log output. - The
useTlsMessageFormatattribute was silently renamed, causing users of TLS framing (RFC 5425) to be silently downgraded to unframed TCP (RFC 6587), without newline escaping.
Users of the SyslogAppender are not affected, as its configuration attributes were not modified.
Users are advised to upgrade to Apache Log4j Core 2.25.4, which corrects this issue.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Java / Kotlin (Maven) | org.apache.logging.log4j:log4j-core | >= 2.21.0, < 2.25.4, >= 3.0.0-beta1, <= 3.0.0-beta3 | 2.25.4 |
Verweise
- https://nvd.nist.gov/vuln/detail/CVE-2026-34478
- https://github.com/apache/logging-log4j2/pull/4074
- https://github.com/apache/logging-log4j2
- https://lists.apache.org/thread/3k1clr2l6vkdnl4cbhjrnt1nyjvb5gwt
- https://logging.apache.org/cyclonedx/vdr.xml
- https://logging.apache.org/log4j/2.x/manual/layouts.html#RFC5424Layout
- https://logging.apache.org/security.html#CVE-2026-34478
- http://www.openwall.com/lists/oss-security/2026/04/10/7
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N- Schwäche (CWE)
CWE-117, CWE-684- Plattform
- Java / Kotlin (Maven)
- Paket
org.apache.logging.log4j:log4j-core- Veröffentlicht
- 10.04.2026
- Aktualisiert
- 11.10.2026 13:20
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-445c-vh5m-36rj - CC BY 4.0
Schwachstellenhistorie: org.apache.logging.log4j:log4j-core
Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 11
- Erste → letzte
- 01.2020 04.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 2
Verteilung nach Schweregrad
- Kritisch 3
- Hoch 2
- Mittel 5
- Niedrig 1
Veröffentlichungen pro Jahr
- 2020: 2
- 2021: 3
- 2022: 1
- 2023: 1
- 2024: 0
- 2025: 1
- 2026: 3
-
Apache Log4j Core: log injection in `Rfc5424Layout` due to silent configuration incompatibility dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.