リモートの Debian 9 ホストには、dla-2852 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Log4j SMTP アペンダーのホスト不一致を伴う証明書の不適切な検証。これにより、SMTPS 接続が中間者攻撃によって傍受され、そのアペンダーを通じて送信されたログメッセージが漏洩する可能性があります。(CVE-2020-9488)

  - 2.16.0 までの Apache Log4j2 バージョン 2.0-alpha1 (2.12.3 を除く) では、自己参照検索からの制御されていない再帰に対して保護がなされていませんでした。これにより、細工された文字列が解釈される際に、スレッドコンテキストマップデータをコントロールできる攻撃者がサービス拒否を引き起こす可能性があります。この問題は、Log4j 2.17.0 および 2.12.3 で修正されました。(CVE-2021-45105)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-2852-1 : apache-log4j2 - LTS セキュリティ更新

low Nessus プラグイン ID 156396

バージョン 1.4