Apache Log4j CoreのSocket Appender（バージョン2.0-beta9から2.25.2）では、verifyHostName設定属性やlog4j2.sslVerifyHostNameシステムプロパティがtrueに設定されていても、ピア証明書のTLSホスト名検証が実行されません。この問題により、次の条件下で中間者攻撃者がログトラフィックを傍受またはリダイレクトする可能性があります。・攻撃者がクライアントとログ受信者間のネットワークトラフィックを傍受またはリダイレクトできること。・攻撃者がSocket Appenderの設定された信頼ストア（またはカスタム信頼ストアが未設定の場合はデフォルトのJava信頼ストア）によって信頼される証明機関が発行したサーバー証明書を提示できること。ユーザーは、この問題を修正したApache Log4j Coreバージョン2.25.3へアップグレードすることを推奨します。代替の緩和策として、Socket Appenderをプライベートまたは制限された信頼ルートを使用するように設定し、信頼する証明書の範囲を制限することが可能です。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。