Amazon Linux 2023log4j、log4j-jcl、log4j-slf4jALAS2023-2026-1398]

medium Nessus プラグイン ID 299535

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1398 のアドバイザリに記載されている脆弱性の影響を受けます。

Apache Log4j Coreバージョン2.0-beta9から 2.25.2 のSocket Appenderは、verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostNameconfiguration 属性またはlog4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostNamesystemproperty がtrueに設定されている場合でも、ピア証明書のTLSホスト名検証を実行しません。

この問題により、以下の条件下で中間者攻撃者がログトラフィックを傍受またはリダイレクトする可能性があります。

* 攻撃者はクライアントとログレシーバー間のネットワークトラフィックを傍受またはリダイレクトできます。* 攻撃者はSocket Appenderの構成されたトラストストアまたはデファルトのJavaトラストストアで信頼される認証局によって発行されたサーバー証明書を提示する可能性がありますカスタムトラストストアが設定されている。

ユーザーは、この問題に対処する Apache Log4j Core バージョン 2.25.3にアップグレードすることが推奨されます。

別の緩和策として、Socket Appender は、信頼できる証明書のセットを制限するために、プライベートまたは制限された信頼ルートを使用するように構成される可能性があります。CVE-2025-68161

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。