| Title | Apache Software FoundationのApache Log4jにおけるエンコードおよびエスケープに関する脆弱性 |
|---|---|
| Summary | Apache Log4j 1-to-Log4j 2ブリッジのLog4j1XmlLayoutは、XML 1.0標準で禁止されている文字をエスケープできず、不正なXML出力を生成します。準拠したXMLパーサーは、このような文字を含むドキュメントを致命的なエラーとして拒否し、その結果、下流のログ処理システムが対象のレコードを破棄したりインデックス化に失敗したりする可能性があります。影響を受けるユーザーは次の2つのグループに分かれます。・Log4j Core 2の設定ファイルでLog4j1XmlLayoutを直接使用しているユーザー・レイアウトクラスとしてorg.apache.log4j.xml.XMLLayoutを指定しているLog4j 1設定互換レイヤーを使用しているユーザーです。ユーザーは、この問題を修正したApache Log4j 1-to-Log4j 2ブリッジバージョン2.25.4へアップグレードすることを推奨します。注意：Apache Log4j 1-to-Log4j 2ブリッジは廃止予定であり、Log4j 3には含まれません。ユーザーはLog4j 1からLog4j 2へのマイグレーションガイドhttps://logging.apache.org/log4j/2.x/migrate-from-log4j1.html を参照し、特にブリッジへの依存を排除するセクションを確認することを推奨します。 |
| Possible impacts | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 10, 2026, midnight |
| Registration Date | May 8, 2026, 12:23 p.m. |
| Last Update | May 8, 2026, 12:23 p.m. |
| CVSS3.0 : 重要 | |
| Score | 7.5 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
| Apache Software Foundation |
| Apache Log4j 2.7 以上 2.25.4 未満 |
| Apache Log4j 3.0.0 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月08日] 掲載 |
May 8, 2026, 12:23 p.m. |
| Summary | The Log4j1XmlLayout from the Apache Log4j 1-to-Log4j 2 bridge fails to escape characters forbidden by the XML 1.0 standard, producing malformed XML output. Conforming XML parsers are required to reject documents containing such characters with a fatal error, which may cause downstream log processing systems to drop or fail to index affected records. Two groups of users are affected: * Those using Log4j1XmlLayout directly in a Log4j Core 2 configuration file. Users are advised to upgrade to Apache Log4j 1-to-Log4j 2 bridge version 2.25.4, which corrects this issue. Note: The Apache Log4j 1-to-Log4j 2 bridge is deprecated and will not be present in Log4j 3. Users are encouraged to consult the Log4j 1 to Log4j 2 migration guide https://logging.apache.org/log4j/2.x/migrate-from-log4j1.html , and specifically the section on eliminating reliance on the bridge. |
|---|---|
| Publication Date | April 11, 2026, 1:16 a.m. |
| Registration Date | April 15, 2026, 11:36 a.m. |
| Last Update | April 14, 2026, 12:02 a.m. |