Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Log4j Core バージョン 2.0-beta9 から 2.25.2 の Socket Appender は、verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostNameconfiguration 属性または log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName システムプロパティが true に設定されている場合でも、ピア証明書の TLS ホスト名検証を実行しません。この問題により、中間にいる攻撃者が、以下の条件下でログトラフィックを傍受またはリダイレクトする可能性があります。* 攻撃者は、クライアントとログレシーバー間のネットワークトラフィックを傍受またはリダイレクトできます。 * 攻撃者は、 Socket Appender の構成済みトラストストアまたはカスタムトラストストアが構成されていない場合はデフォルトの Java トラストストアによって信頼されている認証局により発行されたサーバー証明書を提示する可能性があります。ユーザーは、この問題に対処する Apache Log4j Core バージョン 2.25.3にアップグレードすることが推奨されます。別の緩和策として、Socket Appender は、信頼できる証明書のセットを制限するために、プライベートまたは制限された信頼ルートを使用するように構成される可能性があります。CVE-2025-68161

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-68161

medium Nessus プラグイン ID 279430

バージョン 1.2