リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、650734b2-7665-4170-9a0a-eeced5e10a5e のアドバイザリに記載されている脆弱性の影響を受けます。

  - Apache Log4j 2.15.0 で CVE-2021-44228 に対処した修正が、特定の非デフォルト構成で不完全であることが判明しました。これにより、ログ構成が Context Lookup (例、$${ctx: loginId}) か Thread Context Map パターン (%X、%mdc、または %MDC) を伴うデフォルト以外のパターンレイアウトを使用する場合、Thread Context Map (MDC) 入力データを制御できる攻撃者は、JNDI Lookup パターンを使用して悪意のある入力データを作成し、一部の環境では情報漏えいやリモートコード実行を引き起こす可能性があり、すべての環境でローカルコード実行を引き起こす可能性があります。Log4j 2.16.0 (Java 8) および 2.12.2 (Java 7) は、メッセージ検索パターンのサポートを削除し、デフォルトで JNDI 機能を無効にすることで、この問題を修正しています。
    (CVE-2021-45046)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っています。

検出

FreeBSD : graylog - ユーザー制御のログ入力からの log4j でのリモートコード実行 (650734b2-7665-4170-9a0a-eeced5e10a5e)

critical Nessus プラグイン ID 156210

バージョン 1.5