自己報告されたバージョン番号によると、リモートホストの Apache Log4j のインストールは 1.xであり、すでにサポート対象外です。Log4j は、2016 年より前にサポートが終了しました。加えて、Log4j 1.xは以下を含むの複数の脆弱性の影響を受けます。

  - Log4j には、シリアル化されたログイベントを受け入れ、オブジェクトが許可されているかどうかを検証せずに逆シリアル化する SocketServer が含まれています。これにより、悪用可能な攻撃ベクトルが提供される可能性があります。 (CVE-2019-17571)

  - Apache Log4j SMTP アペンダーのホスト不一致を伴う証明書の不適切な検証。これにより、SMTPS 接続が中間者攻撃によって傍受され、そのアペンダーを通じて送信されたログメッセージが漏洩する可能性があります。 (CVE-2020-9488)

  - JMSSink は保護されていない方法で JNDI を使用するため、信頼できないサイトを参照するように構成されている場合、または攻撃者が参照されているサイトにアクセスできる場合、JMSSink を使用するアプリケーションが脆弱になる可能性があります。
    (CVE-2022-23302)

サポートされていないため、この製品の新しいセキュリティパッチはベンダーからリリースされません。その結果、セキュリティの脆弱性が含まれている可能性があります。

検出

Apache Log4j 1.x の複数の脆弱性

critical Nessus プラグイン ID 156860

バージョン 1.9