Apache log4j: Mehrere Schwachstellen ermöglichen Manipulation von Dateien

Summary

Product

Vulnerabilities 5

• Medium 6.9
  CVE-2026-34478

  Apache Log4j Core: Log injection in Rfc5424Layout due to silent configuration incompatibility

  Apache Log4j Core's Rfc5424Layout https://logging.apache.org/log4j/2.x/manual/layouts.html#RFC5424Layout , in versions 2.21.0 through 2.25.3, is vulnerable to log injection via CRLF sequences due to undocumented renames of security-relevant configuration attr…

  Apache Software Foundation Apache Log4j Core airflow-3 logstash-9.3-iamguarded-compat Ubuntu Wolfi Maven
  Apr 10, 2026
• Medium 6.9
  CVE-2026-34479

  Apache Log4j 1 to Log4j 2 bridge: Silent log event loss in Log4j1XmlLayout due to unescaped XML 1.0 forbidden characters

  The Log4j1XmlLayout from the Apache Log4j 1-to-Log4j 2 bridge fails to escape characters forbidden by the XML 1.0 standard, producing malformed XML output. Conforming XML parsers are required to reject documents containing such characters with a fatal error, …

  Apache Software Foundation Apache Log4j 1 to Log4j 2 bridge druid logstash-9.3 Debian Ubuntu Wolfi Maven
  Apr 10, 2026
• Medium 6.9
  CVE-2026-34480

  Apache Log4j Core: Silent log event loss in XmlLayout due to unescaped XML 1.0 forbidden characters

  Apache Log4j Core's XmlLayout https://logging.apache.org/log4j/2.x/manual/layouts.html#XmlLayout , in versions up to and including 2.25.3, fails to sanitize characters forbidden by the XML 1.0 specification https://www.w3.org/TR/xml/#charsets producing invali…

  Apache Software Foundation Apache Log4j Core druid airflow-3 Debian Ubuntu Wolfi Maven
  Apr 10, 2026
• Medium 6.3
  CVE-2026-34477

  Apache Log4j Core: verifyHostName attribute silently ignored in TLS configuration, allowing hostname verification bypass

  The fix for CVE-2025-68161 https://logging.apache.org/security.html#CVE-2025-68161 was incomplete: it addressed hostname verification only when enabled via the log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.s…

  Apache Software Foundation Apache Log4j Core airflow-3 logstash-9.3-iamguarded-compat Ubuntu Wolfi Maven
  Apr 10, 2026
• Medium 6.3
  CVE-2026-34481

  Apache Log4j JSON Template Layout: Improper serialization of non-finite floating-point values in JsonTemplateLayout

  Apache Log4j's JsonTemplateLayout https://logging.apache.org/log4j/2.x/manual/json-template-layout.html , in versions up to and including 2.25.3, produces invalid JSON output when log events contain non-finite floating-point values (NaN, Infinity, or -Infinit…

  Apache Software Foundation Apache Log4j JSON Template Layout spark-4.0-scala-2.13 spark-4.1-scala-2.13 Debian Ubuntu Wolfi Maven
  Apr 10, 2026

Revision history

1. 2026-10-25 #30

   Neue Updates von IBM aufgenommen

2. 2026-10-08 #29

   Neue Updates von IBM aufgenommen

3. 2026-10-07 #28

   Neue Updates von IBM aufgenommen

4. 2026-09-10 #27

   Neue Updates von Red Hat aufgenommen

5. 2026-09-02 #26

   Neue Updates von IBM aufgenommen

6. 2026-09-01 #25

   Neue Updates von IBM aufgenommen

7. 2026-08-30 #24

   Neue Updates von IBM aufgenommen

8. 2026-08-12 #23

   Neue Updates von IBM und Red Hat aufgenommen

9. 2026-08-02 #22

   Neue Updates von IBM aufgenommen

10. 2026-07-29 #21

    Neue Updates von HCL aufgenommen

11. 2026-07-21 #20

    Neue Updates von IBM aufgenommen

12. 2026-07-20 #19

    Neue Updates von Red Hat aufgenommen

13. 2026-07-12 #18

    Neue Updates von IBM aufgenommen

14. 2026-07-09 #17

    Neue Updates von Red Hat aufgenommen

15. 2026-07-01 #16

    Neue Updates von Red Hat aufgenommen

16. 2026-06-30 #15

    Neue Updates von IBM aufgenommen

17. 2026-06-25 #14

    Neue Updates von IBM aufgenommen

18. 2026-06-24 #13

    Neue Updates von IBM aufgenommen

19. 2026-06-23 #12

    Neue Updates von IBM aufgenommen

20. 2026-06-22 #11

    Neue Updates von IBM aufgenommen

21. 2026-06-10 #10

    Neue Updates von Splunk-SVD aufgenommen

22. 2026-06-02 #9

    Neue Updates von Red Hat aufgenommen

23. 2026-05-28 #8

    Neue Updates von Red Hat aufgenommen

24. 2026-05-27 #7

    Neue Updates von IBM aufgenommen

25. 2026-05-26 #6

    Neue Updates von IBM und IBM-APAR aufgenommen

References

• GitHub Security Advisory GHSA-6HG6-V5C8-FPHQ vom 2026-04-12
  https://github.com/advisories/GHSA-6HG6-V5C8-FPHQ
• GitHub Security Advisory GHSA-445C-VH5M-36RJ vom 2026-04-12
  https://github.com/advisories/GHSA-445C-VH5M-36RJ
• GitHub Security Advisory GHSA-H383-GMXW-35V2 vom 2026-04-12
  https://github.com/advisories/GHSA-H383-GMXW-35V2
• GitHub Security Advisory GHSA-3pxv-7cmr-fjr4 vom 2026-04-12
  https://github.com/advisories/GHSA-3pxv-7cmr-fjr4
• GitHub Security Advisory GHSA-w35j-pv5h-q9q9 vom 2026-04-12
  https://github.com/advisories/GHSA-w35j-pv5h-q9q9
• Microsoft Security Update Guide vom 2026-04-14
  https://msrc.microsoft.com/update-guide/
• openSUSE Security Update OPENSUSE-SU-2026:10544-1 vom 2026-04-15
  https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/thread/4PYSIASLDV4ARR35HGWQNBVP5EMAIURV/
• SUSE Security Update SUSE-SU-2026:1843-1 vom 2026-05-13
  https://lists.suse.com/pipermail/sle-security-updates/2026-May/026025.html
• IBM Security Bulletin 7278671 vom 2026-07-01
  https://www.ibm.com/support/pages/node/7278671
• Red Hat Security Advisory RHSA-2026:34608 vom 2026-07-02
  https://access.redhat.com/errata/RHSA-2026:34608
• IBM Security Bulletin 7273809 vom 2026-05-22
  https://www.ibm.com/support/pages/node/7273809
• IBM Security Bulletin 7274080 vom 2026-05-26
  https://www.ibm.com/support/pages/node/7274080
• IBM Security Bulletin 7274227 vom 2026-05-27
  https://www.ibm.com/support/pages/node/7274227
• Red Hat Security Advisory RHSA-2026:21773 vom 2026-05-29
  https://access.redhat.com/errata/RHSA-2026:21773
• Red Hat Security Advisory RHSA-2026:22619 vom 2026-06-02
  https://access.redhat.com/errata/RHSA-2026:22619
• Splunk Security Advisory SVD-2026-0610 vom 2026-06-10
  https://advisory.splunk.com//advisories/SVD-2026-0610
• IBM Security Bulletin 7275937 vom 2026-06-11
  https://www.ibm.com/support/pages/node/7275937
• IBM Security Bulletin 7276777 vom 2026-06-23
  https://www.ibm.com/support/pages/node/7276777
• IBM Security Bulletin 7277420 vom 2026-06-23
  https://www.ibm.com/support/pages/node/7277420
• Google Cloud Platform Security Bulletin GCP-2026-041 vom 2026-06-24
  https://docs.cloud.google.com/support/bulletins#gcp-2026-041
• IBM Security Bulletin 7275287 vom 2026-06-24
  https://www.ibm.com/support/pages/node/7275287
• IBM Security Bulletin 7278011 vom 2026-06-25
  https://www.ibm.com/support/pages/node/7278011
• Red Hat Security Advisory RHSA-2026:37390 vom 2026-07-09
  https://access.redhat.com/errata/RHSA-2026:37390
• IBM Security Bulletin 7279458 vom 2026-07-10
  https://www.ibm.com/support/pages/node/7279458
• Red Hat Security Advisory RHSA-2026:42644 vom 2026-07-21
  https://access.redhat.com/errata/RHSA-2026:42644
• IBM Security Bulletin 7280602 vom 2026-07-21
  https://www.ibm.com/support/pages/node/7280602
• HCL Security Bulletin vom 2026-07-30
  https://support.hcl-software.com/csm?id=kb_article&sysparm_article=KB0132666
• IBM Security Bulletin 7282322 vom 2026-08-02
  https://www.ibm.com/support/pages/node/7282322
• IBM Security Bulletin 7283607 vom 2026-08-13
  https://www.ibm.com/support/pages/node/7283607
• Red Hat Security Advisory RHSA-2026:54435 vom 2026-08-12
  https://access.redhat.com/errata/RHSA-2026:54435
• IBM Security Bulletin 7285726 vom 2026-08-31
  https://www.ibm.com/support/pages/node/7285726
• IBM Security Bulletin 7285930 vom 2026-09-01
  https://www.ibm.com/support/pages/node/7285930
• IBM Security Bulletin 7286010 vom 2026-09-02
  https://www.ibm.com/support/pages/node/7286010
• IBM Security Bulletin 7286196 vom 2026-09-03
  https://www.ibm.com/support/pages/node/7286196
• Red Hat Security Advisory RHSA-2026:66545 vom 2026-09-11
  https://access.redhat.com/errata/RHSA-2026:66545
• Red Hat Security Advisory RHSA-2026:66488 vom 2026-09-10
  https://access.redhat.com/errata/RHSA-2026:66488
• IBM Security Bulletin 7290888 vom 2026-10-07
  https://www.ibm.com/support/pages/node/7290888
• IBM Security Bulletin 7291681 vom 2026-10-08
  https://www.ibm.com/support/pages/node/7291681
• IBM Security Bulletin 7291607 vom 2026-10-08
  https://www.ibm.com/support/pages/node/7291607
• IBM Security Bulletin 7293833 vom 2026-10-23
  https://www.ibm.com/support/pages/node/7293833