リモートホストの Apache Log4j のバージョンは、2.x< 2.3.1/ 2.4< 2.12.2/ 2.13< 2.15.0です。したがって、ログの検証が不適切なため、JDNI のパーサーでリモートコード実行の脆弱性の影響を受けます。認証されていないリモートの攻撃者がこれを悪用して認証をバイパスし、任意のコマンドを実行する可能性があります。 

2016 年より前にサポートが終了した Log4j 1.xには、JMSAppender が付属しています。これは、Log4j の構成ファイルで有効になっている場合に JNDI 検索を実行します。したがって、顧客は EOL になっているリスクと JNDI 検索が有効かどうかに基づいて、1.x のトリガーを評価する必要があります。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Apache Log4j < 2.15.0リモートコード実行 (Nix)

critical Nessus プラグイン ID 155999

バージョン 1.28