FreeBSD:OpenSearch -- Log4Shell (b0f49cb9-6736-11ec-9eea-589cfc007716)

critical Nessus プラグイン ID 156324

言語:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、b0f49cb9-6736-11ec-9eea-589cfc007716 のアドバイザリに記載されている脆弱性の影響を受けます。

- Apache Log4j 2.15.0 で CVE-2021-44228 に対処した修正が、特定の非デフォルト構成で不完全であることが判明しました。これにより、ログ構成が Context Lookup (例、$${ctx: loginId}) か Thread Context Map パターン (%X、%mdc、または %MDC) を伴うデフォルト以外のパターンレイアウトを使用する場合、Thread Context Map (MDC) 入力データを制御できる攻撃者は、JNDI Lookup パターンを使用して悪意のある入力データを作成し、一部の環境では情報漏えいやリモートコード実行を引き起こす可能性があり、すべての環境でローカルコード実行を引き起こす可能性があります。Log4j 2.16.0 (Java 8) および 2.12.2 (Java 7) は、メッセージ検索パターンのサポートを削除し、デフォルトで JNDI 機能を無効にすることで、この問題を修正しています。
(CVE-2021-45046)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ソリューション

影響を受けるパッケージを更新してください。

関連情報

https://opensearch.org/blog/releases/2021/12/update-1-2-2/

http://www.nessus.org/u?972353be

プラグインの詳細

深刻度: Critical

ID: 156324

ファイル名: freebsd_pkg_b0f49cb9673611ec9eea589cfc007716.nasl

バージョン: 1.3

タイプ: local

公開日: 2021/12/27

更新日: 2021/12/30

リスク情報

VPR

リスクファクター: Critical

スコア: 9.2

CVSS v2

リスクファクター: Medium

Base Score: 5.1

Temporal Score: 3.8

ベクトル: AV:N/AC:H/Au:N/C:P/I:P/A:P

現状ベクトル: E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2021-45046

CVSS v3

リスクファクター: Critical

Base Score: 9

Temporal Score: 7.8

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:freebsd:freebsd:opensearch, cpe:/o:freebsd:freebsd

必要な KB アイテム: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2021/12/27

脆弱性公開日: 2021/12/10

参照情報

CVE: CVE-2021-45046

IAVA: 2021-A-0573, 0001-A-0650