CVE-2026-34480 CVSS 7.5 高危

CVE-2026-34480 Apache Log4j Core XML注入漏洞

披露日期: 2026-04-10

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-34480

漏洞类型

XML注入

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Apache Log4j Core

漏洞概述

Apache Log4j Core 2.25.3及之前版本中的XmlLayout组件存在安全漏洞。该漏洞源于未能对XML 1.0规范中禁止的字符进行清理。当日志消息或MDC值包含此类字符时，会产生无效的XML输出。根据使用的StAX实现不同，影响包括：JRE内置StAX会静默写入非法字符，导致格式错误的XML，可能被下游系统拒绝；Woodstox等其他实现会抛出异常，导致日志事件丢失。攻击者可利用此漏洞破坏日志记录的完整性或可用性。

技术细节

该漏洞位于Apache Log4j Core的XmlLayout类中，其根本原因是缺乏对输出内容的严格校验。XML 1.0规范明确禁止某些控制字符（如0x00-0x08, 0x0B, 0x0C, 0x0E-0x1F等）出现在XML文档中。Log4j在处理日志事件时，直接将日志内容或MDC（Mapped Diagnostic Context）值写入XML输出流，而未对这些字符进行转义或过滤。

当使用JRE内置的StAX实现时，非法字符会被直接写入输出流。生成的XML文档违反语法规范，合规的XML解析器在读取时会抛出致命错误并拒绝处理，导致日志处理系统中断或丢弃日志记录，造成日志完整性受损。

当使用Woodstox等第三方StAX实现时，这些库对XML合规性要求更严格，会在写入非法字符时立即抛出异常。这会导致Log4j的日志记录流程中断，日志事件无法发送到目标Appender，仅被内部状态记录器捕获，从而造成日志丢失，影响系统的可审计性。攻击者可通过控制输入数据（如User-Agent、请求参数等）注入非法字符来触发此漏洞。

攻击链分析

STEP 1

步骤1

攻击者向使用Log4j的应用程序发送包含XML非法字符（如控制字符）的恶意输入数据。

STEP 2

步骤2

应用程序接收并处理该输入，调用Log4j记录日志，将输入数据包含在日志消息或MDC中。

STEP 3

步骤3

Log4j的XmlLayout组件尝试生成XML格式的日志，未对非法字符进行过滤或转义。

STEP 4

步骤4

底层的StAX实现（如JRE内置或Woodstox）处理到非法字符，生成畸形XML或抛出运行时异常。

STEP 5

步骤5

下游日志解析系统拒绝处理畸形文件，或日志记录因异常而丢失，导致日志完整性（I:H）受损。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;

public class CVE202634480Poc {
    private static final Logger logger = LogManager.getLogger(CVE202634480Poc.class);

    public static void main(String[] args) {
        // XML 1.0 forbidden character (NULL byte)
        String maliciousInput = "Normal log text " + "\u0000" + " more text";
        
        // Trigger the vulnerability by logging the forbidden character
        // This will cause malformed XML output or throw an exception
        logger.info("User input: {}", maliciousInput);
    }
}

影响范围

Apache Log4j Core <= 2.25.3

防御指南

临时缓解措施

建议用户尽快升级至Apache Log4j Core 2.25.4版本，该版本已在XML输出前对禁止字符进行了清理。如果无法立即升级，应避免使用XmlLayout来记录未经过滤的用户输入数据，或者在应用层面对日志内容进行预处理，确保不包含XML 1.0规范中定义的非法字符。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表