リモートの Debian 10 / 11 ホストには、dsa-5020 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Log4j SMTP アペンダーのホスト不一致を伴う証明書の不適切な検証。これにより、SMTPS 接続が中間者攻撃によって傍受され、そのアペンダーを通じて送信されたログメッセージが漏洩する可能性があります。 (CVE-2020-9488)

  - 構成、ログメッセージ、およびパラメーターで使用される Apache Log4j2 <=2.14.1 JNDI 機能は、攻撃者が制御する LDAP およびその他の JNDI 関連のエンドポイントから保護しません。メッセージ検索置換が有効な場合、ログメッセージまたはログメッセージパラメーターを制御できる攻撃者が、LDAP サーバーからロードされた任意のコードを実行する可能性があります。log4j 2.15.0以降、この動作はデフォルトで無効になっています。以前のリリース (>2.10) では、システムプロパティ log4j2.formatMsgNoLookups を true に設定するか、JndiLookup クラスをクラスパスから削除することで、この動作を緩和できます (例：zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class)。Java 8u121 ( https://www.oracle.com/java/technologies/javase/8u121-relnotes.htmlを参照) は、com.sun.jndi.rmi.object.trustURLCodebase およびcom.sun.jndi.cosnaming.object.trustURLCodebase を false にデフォルト設定することで、リモートコードの実行から保護します。 (CVE-2021-44228)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DSA-5020-1: apache-log4j2 - セキュリティ更新

critical Nessus プラグイン ID 156015

バージョン 1.10