Intel

CVE-2026-34481

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

highEPSS 0.7 %

Beschreibung

Die JsonTemplateLayout von Apache Log4j https://logging.apache.org/log4j/2.x/manual/json-template-layout.html , in Versionen bis einschließlich 2.25.3, erzeugt ungültige JSON-Ausgaben, wenn Protokolleinträge nicht-finite Gleitkommawerte (NaN, Unendlichkeit oder -Unendlichkeit) enthalten, die durch RFC 8259 verboten sind. Dies kann dazu führen, dass nachgelagerte Log-Verarbeitungssysteme betroffene Aufzeichnungen ablehnen oder nicht indizieren. Ein Angreifer kann dieses Problem nur ausnutzen, wenn beide der folgenden Bedingungen erfüllt sind: * Die Anwendung verwendet JsonTemplateLayout. * Die Anwendung protokolliert eine MapMessage oder protokolliert ein Objekt direkt (z. B. über Logger.info(Object), das es in einer ObjectMessage umschließt), wobei die Nachricht einen vom Angreifer kontrollierten Gleitkommawert enthält. Benutzer werden dazu geraten, auf Apache Log4j JSON Template Layout 2.25.4 zu aktualisieren, welches dieses Problem behebt. Hinweis: Der in Version 2.25.4 veröffentlichte Fix deckte nicht alle betroffenen Codepfade ab. CVE-2026-49844 wurde dem verbleibenden Problem zugewiesen, das die MapMessage.asJson()-Serialisierung in der Apache Log4j-API betrifft und in den Versionen 2.25.5 und 2.26.1 behoben ist.

Quelle: BSIBSI_CSAFBSIBSI_CSAFBSI_CSAFBSIBSIBSI_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFBSI_CSAFBSIBSI_CSAFBSIBSI_CSAFBSIBSI_CSAFBSIREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFBSI_CSAFBSIBSIBSI_CSAFBSI_CSAFBSIBSIBSI_CSAFBSI_CSAFBSIBSI_CSAFBSIBSI_CSAFBSICVELISTV5NVDCVEORGMSRCOSV

Metriken

Severity
high
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.5
Quelle: nvd-v3
CVSS v3
7.5
CVSS v4
6.3
EPSS-Perzentil
50.7 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.7 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-116

Weakness-Klassen (CWE)

  • CWE-116Class

    Improper Encoding or Escaping of Output

    The product prepares a structured message for communication with another component, but encoding or escaping of the data is either missing or done incorrectly. As a result, the intended structure of the message is not preserved.

    cwe.mitre.org →

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-34481