| タイトル | Apache Software FoundationのApache Log4cxxにおけるエンコードおよびエスケープに関する脆弱性 |
|---|---|
| 概要 | Apache Log4cxx の XMLLayout https://logging.apache.org/log4cxx/1.7.0/classlog4cxx_1_1xml_1_1XMLLayout.html は、バージョン 1.7.0 より前のものにおいて、XML 1.0 仕様 https://www.w3.org/TR/xml/#charsets により禁止されている文字をログメッセージ、NDC、および MDC のプロパティキーや値の中で適切にサニタイズしないため、無効な XML 出力を生成します。適合する XML パーサは、そのような文書を致命的なエラーで拒否しなければならず、これにより下流のログ処理システムが該当する記録の取り扱いを放棄したり、インデックス作成に失敗したりする可能性があります。ログに記録されるデータに影響を与えられる攻撃者は、これを悪用して個別のログ記録を抑制し、監査記録や悪意ある活動の検知を妨げることができます。ユーザーは、この問題を修正した Apache Log4cxx 1.7.0 へアップグレードすることが推奨されます。 |
| 想定される影響 | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月10日0:00 |
| 登録日 | 2026年4月23日10:11 |
| 最終更新日 | 2026年4月23日10:11 |
| CVSS3.0 : 警告 | |
| スコア | 5.3 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
| Apache Software Foundation |
| Apache Log4cxx 1.7.0 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月23日] 掲載 |
2026年4月23日10:11 |
| 概要 | Apache Log4cxx's XMLLayout https://logging.apache.org/log4cxx/1.7.0/classlog4cxx_1_1xml_1_1XMLLayout.html , in versions before 1.7.0, fails to sanitize characters forbidden by the XML 1.0 specification https://www.w3.org/TR/xml/#charsets in log messages, NDC, and MDC property keys and values, producing invalid XML output. Conforming XML parsers must reject such documents with a fatal error, which may cause downstream log processing systems to drop or fail to index affected records. An attacker who can influence logged data can exploit this to suppress individual log records, impairing audit trails and detection of malicious activity. Users are advised to upgrade to Apache Log4cxx 1.7.0, which fixes this issue. |
|---|---|
| 公表日 | 2026年4月11日1:16 |
| 登録日 | 2026年4月15日11:36 |
| 最終更新日 | 2026年4月21日23:49 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:apache:log4cxx:*:*:*:*:*:*:*:* | 1.7.0 | ||||