ユーザーが制御する入力を処理する際のメッセージ検索置換の保護が不十分なため、Apache Log4j < 2.16.0にリモートコード実行の脆弱性が存在します。リモートの認証されていない攻撃者がこれを悪用し、Web リクエストを介して、Java プロセスの権限レベルで任意のコードを実行する可能性があります。

注意：このバイパスには、デフォルト以外の構成が必要です。コンテキスト検索のあるパターンレイアウトのみ（たとえば、$${ctx: loginId}）がこれに対して脆弱です。

このプラグインでは、スキャナーとターゲットマシンの両方がインターネットにアクセスできる必要があります。

検出

Apache Log4Shell CVE-2021-45046 リモートコード実行のバイパス

critical Nessus プラグイン ID 156164

バージョン 1.26