リモートの Redhat Enterprise Linux 7 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは複数の脆弱性の影響を受けます。これらの脆弱性はベンダーによって認識されていますが、パッチが適用されません。

  - log4j: ソケットレシーバーの逆シリアル化の脆弱性 (CVE-2017-5645)

  - ** 割り当て時にはサポートされていません ** Chainsaw または SocketAppender コンポーネントを 1.7 より前の JRE における Log4j 1.x と共に使用する場合、攻撃者が特別に細工した (つまり、深くネストされた) ハッシュマップまたはハッシュテーブル (どちらのログコンポーネントを使用しているかに応じて) を処理するログエントリを引き起こすことに成功すると、オブジェクトが逆シリアル化されたときに仮想マシンの利用可能なメモリが枯渇し、オブジェクトが逆シリアル化される際にサービス拒否が発生する可能性があります。この問題は、2 より前の Apache Log4j に影響します。影響を受けるユーザーは、Log4j 2.x に更新することが推奨されます。注意: この脆弱性の影響を受けるのは、メンテナーによるサポートが終了した製品のみです。
    (CVE-2023-26464)

注意: Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。

検出

RHEL 7: log4j (パッチ未適用の脆弱性)

critical Nessus プラグイン ID 199036

バージョン 1.2