リモートのUbuntu 18.04LTS/20.04 LTSホストには、USN-5192-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 構成、ログメッセージ、およびパラメーターで使用される Apache Log4j2 <=2.14.1 JNDI 機能は、攻撃者が制御する LDAP およびその他の JNDI 関連のエンドポイントから保護しません。メッセージ検索置換が有効な場合、ログメッセージまたはログメッセージパラメーターを制御できる攻撃者が、LDAP サーバーからロードされた任意のコードを実行する可能性があります。log4j 2.15.0以降、この動作はデフォルトで無効になっています。以前のリリース (>2.10) では、システムプロパティ log4j2.formatMsgNoLookups を true に設定するか、リリース (<2.10) より前では、JndiLookup クラスをクラスパスから削除することで、この動作を緩和できます (例: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class)。
    (CVE-2021-44228)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Ubuntu 18.04LTS/20.04 LTS：Apache Log4j 2 の脆弱性 (USN-5192-1)

critical Nessus プラグイン ID 156054

バージョン 1.11