Samuli Leinonen

مكون Rfc5424Layout معرض لخطر حقن السجلات عبر تسلسلات CRLF (Carriage Return Line Feed). ويحدث ذلك بسبب إعادة تسمية سمات التكوين ذات الصلة بالأمان دون توثيق، مما يؤثر على مستخدمي خدمات syslog القائمة على التدفق الذين يقومون بتكوين Rfc5424Layout مباشرةً. وعلى وجه التحديد، تؤدي إعادة تسمية السمة `newLineEscape` إلى تعطيل الهروب من السطر الجديد في تأطير TCP (RFC 6587)، كما تؤدي إعادة تسمية السمة `useTlsMessageFormat` إلى تخفيض مستوى تأطير TLS (RFC 5425) إلى TCP غير مؤطر (RFC 6587) دون الهروب من السطر الجديد. وقد يتيح ذلك لمهاجم عن بُعد التأثير على سلامة معلومات السجلات المحمية.

يوجد عيب يتمثل في تجاهل التحقق من اسم المضيف عند تكوينه عبر السمة `verifyHostName` الخاصة بعنصر ’<Ssl>‘. ويحدث هذا حتى في حالة تعيين السمة صراحةً، مما يجعل اتصالات TLS عرضة للاعتراض. يمكن لمهاجم عبر الشبكة تنفيذ هجوم «الرجل في الوسط» (man-in-the-middle) في حالة استخدام ملحق SMTP أو Socket أو Syslog، وتكوين TLS عبر عنصر «<Ssl>» متداخل، وامتلاك المهاجم لشهادة صادرة عن جهة إصدار شهادات (CA) موثوق بها من قبل مخزن الثقة Java المُكوّن أو الافتراضي.

لا يقوم مكون Socket Appender في Apache Log4j Core بالتحقق من اسم مضيف شهادة الطرف المقابل أثناء اتصالات TLS، حتى عند تهيئته للقيام بذلك. قد يتيح ذلك لمهاجم من نوع «man-in-the-middle» اعتراض أو إعادة توجيه حركة مرور السجلات إذا تمكن من تقديم شهادة صالحة يثق بها النظام. يجب أن يكون المهاجم قادرًا على اعتراض حركة مرور الشبكة بين العميل ومستقبل السجلات، وأن يمتلك شهادة صادرة عن سلطة تصديق موثوقة.