Zaloguj się
Deutsch English Español Polski
Średnia

Apache Log4j Core: log injection in `Rfc5424Layout` due to silent configuration incompatibility

  • Ujawniono: 10.04.2026
  • Aktualizacja: 11.10.2026 13:20

Apache Log4j Core's Rfc5424Layout, in versions 2.21.0 through 2.25.3, is vulnerable to log injection via CRLF sequences due to undocumented renames of security-relevant configuration attributes.

Two distinct issues affect users of stream-based syslog services who configure Rfc5424Layout directly:

  • The newLineEscape attribute was silently renamed, causing newline escaping to stop working for users of TCP framing (RFC 6587), exposing them to CRLF injection in log output.
  • The useTlsMessageFormat attribute was silently renamed, causing users of TLS framing (RFC 5425) to be silently downgraded to unframed TCP (RFC 6587), without newline escaping.

Users of the SyslogAppender are not affected, as its configuration attributes were not modified.

Users are advised to upgrade to Apache Log4j Core 2.25.4, which corrects this issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.logging.log4j:log4j-core >= 2.21.0, < 2.25.4, >= 3.0.0-beta1, <= 3.0.0-beta3 2.25.4

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
Słabość (CWE)
CWE-117, CWE-684
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.logging.log4j:log4j-core
Ujawniono
10.04.2026
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-445c-vh5m-36rj - CC BY 4.0

Historia podatności: org.apache.logging.log4j:log4j-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (11) w archiwum
Wszystkich wpisów
11
Pierwsza → ostatnia
01.2020 04.2026
Bez poprawki
0
Wykorzystywana w atakach
2

Rozkład istotności

  • Krytyczna 3
  • Wysoka 2
  • Średnia 5
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Apache Log4j Core: log injection in `Rfc5424Layout` due to silent configuration incompatibility ten wpis
    Średnia CVE-2026-34478 >= 2.21.0, < 2.25.4, >= 3.0.0-beta1, <= 3.0.0-beta3 2.25.4
  2. Apache Log4j 1.x (EOL) allows Denial of Service (DoS)
    Wysoka · 7.5 CVE-2023-26464 >= 1.0.4, < 2.0 2.0
  3. Apache Log4j2 vulnerable to Improper Input Validation and Uncontrolled Recursion
    Wysoka · 8.6 CVE-2021-45105 >= 2.4.0, < 2.12.3, >= 2.13.0, < 2.17.0, < 2.3.1 2.12.3, 2.17.0, 2.3.1
  4. Incomplete fix for Apache Log4j vulnerability
    Krytyczna · 9.0 Wykorzystywana w atakach CVE-2021-45046 >= 2.13.0, < 2.16.0, >= 2.4.0, < 2.12.2, < 2.3.1 2.16.0, 2.12.2, 2.3.1
  5. Remote code injection in Log4j
    Krytyczna · 10.0 Wykorzystywana w atakach CVE-2021-44228 >= 2.13.0, < 2.15.0, >= 2.0-beta9, < 2.3.1, >= 2.4, < 2.12.2 2.15.0, 2.3.1, 2.12.2
  6. Deserialization of Untrusted Data in Log4j
    Krytyczna · 9.8 CVE-2017-5645 >= 2.0, < 2.8.2 2.8.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.