PT-2025-52349
CVE-2025-68161
·
تاريخ النشر
2025-12-18
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Apache Log4j Core من الإصدار 2.0-beta9 حتى 2.25.2
الوصف
لا يقوم مكون Socket Appender في Apache Log4j Core بالتحقق من اسم مضيف شهادة الطرف المقابل أثناء اتصالات TLS، حتى عند تهيئته للقيام بذلك. قد يتيح ذلك لمهاجم من نوع «man-in-the-middle» اعتراض أو إعادة توجيه حركة مرور السجلات إذا تمكن من تقديم شهادة صالحة يثق بها النظام. يجب أن يكون المهاجم قادرًا على اعتراض حركة مرور الشبكة بين العميل ومستقبل السجلات، وأن يمتلك شهادة صادرة عن سلطة تصديق موثوقة.
التوصيات
قم بالتحديث إلى الإصدار 2.25.3 من Apache Log4j Core.
كبديل، قم بتكوين Socket Appender لاستخدام جذر ثقة خاص أو مقيّد، من أجل تقييد مجموعة الشهادات الموثوق بها.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾