JVNDB-2026-023805

Apache Software FoundationのApache Log4jにおけるエンコードおよびエスケープに関する脆弱性

Apache Log4j APIにおけるMapMessageのJSONシリアライズ時に非有限浮動小数点値が不適切にエンコードされるため、有効なJSONではない出力が生成されます。この問題はApache Log4j APIのバージョン2.13.1から2.25.4およびバージョン2.26.0に影響します。CVE-2026-34481の修正はすべてのコード経路をカバーしておらず、MapMessageが非有限のIEEE 754値（NaN、Infinity、または-Infinity）を含む場合、MapMessage.asJson()は対応するベアトークンを出力します。RFC 8259はこれらのトークンを許可していないため、準拠したパーサーは生成されたドキュメントを拒否します。この欠陥は、次の両方の条件が満たされた場合にのみ発生します。・アプリケーションがJsonTemplateLayoutのメッセージリゾルバ（https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-message）またはMapMessage.asJson()やMapMessage.getFormattedMessage(new String[]{"JSON"})に依存するその他のレイアウトを使用していること。・アプリケーションが攻撃者に制御された浮動小数点値を含むMapMessageをログ出力していること。攻撃者が非有限値を提供できる場合、影響を受けるレイアウトは不正なJSONを生成し、それがログレコード全体を破損させたり、下流のログ取り込みや解析を妨害したりする可能性があります。ユーザーには、Apache Log4j API 2.25.5または2.26.1へのアップグレードが推奨されており、これらのバージョンは非有限値に対してRFC 8259準拠のJSONを出力します。

Apache Software Foundation

• Apache Log4j 2.13.1 以上 2.25.5 未満
• Apache Log4j 2.26.0
• Apache Log4j 3.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Logging Services : https://logging.apache.org/cyclonedx/vdr.xml
• Apache Logging Services : Security :: Apache Logging Services

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]

1. CVE-2026-49844

1. National Vulnerability Database (NVD) : CVE-2026-49844
2. 関連文書 : JSON Template Layout :: Apache Log4j
3. 関連文書 : Fix handling of non-finite numbers while encoding `MapMessage` to JSON by vy  Pull Request #4163  apache/logging-log4j2  GitHub

• [2026年07月16日]
    掲載