Insufficient Logging vulnerability in the EventLogAppender of Apache log4net. Long messages were truncated to a fixed size that exceeds what the Windows Event Log accepts once the log and source names are counted, and the event log then stored nothing and reported nothing. A party whose data reaches a log message could suppress the whole record by making it long enough.
Only applications on Windows that use EventLogAppender are affected. This issue affects Apache log4net: from 1.2.9 before 3.5.0. Users are recommended to upgrade to version 3.5.0, which fixes the issue.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Apache Log4net
cpe:2.3:a:apache:log4net:*:*:*:*:*:*:*:*
|
1.2.9
|
3.5.0
|
Ссылки 4
https://github.com/apache/logging-log4net/commit/28fbfb25678c48a8cc5bc9b94ead0d…
security@apache.org
https://github.com/apache/logging-log4net/pull/315
security@apache.org
https://lists.apache.org/thread.html/jr6fj5skv1vnjbc9jmt8bp151p8ow1rp
security@apache.org
http://www.openwall.com/lists/oss-security/2026/10/07/17
af854a3a-2127-422b-91ae-364da2661108