Amazon Linux 2022 : log4j、log4j-jcl、log4j-slf4j (ALAS2022-2021-004)

critical Nessus プラグイン ID 212475

Language:

概要

リモートの Amazon Linux 2022 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2022-2021-004 のアドバイザリに記載されている脆弱性の影響を受けます。

Apache Log4j 2.15.0で CVE-2021-44228に対処した修正が、特定の非デフォルト構成で不完全であることが判明しました。これにより、ログ設定が Context Lookup (例、$${ctx:loginId}) または Thread Context Map のパターン (%X、%mdc、または %MDC) のいずれかでデフォルトではない Pattern Layout を使用する場合、Thread Context Map (MDC) の入力データを制御できる攻撃者が、JNDI Lookup パターンを使用して悪意のある入力データを作成する可能性があります。これにより、サービス拒否 (DOS) が引き起こされます。Log4j 2.15.0はデフォルトで、JNDI LDAP 検索を localhost に制限するために、最大限の努力を試みます。Log4j 2.16.0は、メッセージ検索パターンのサポートを削除し、デフォルトで JNDI 機能を無効にすることで、この問題を修正しています。(CVE-2021-45046)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。