Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache 2.25.3までのバージョンの Log4j の JsonTemplateLayout https://logging.apache.org/log4j/2.x/manual/json-template-layout.htmlは、ログイベントに RFC 8259 で禁止されている非有限浮動小数点値 (NaN、Infinity または -Infinity) が含まれている場合に、無効な JSON 出力を生成します。これにより、ダウンストリームのログ処理システムが、影響を受けるレコードを拒否するか、インデックス作成に失敗する可能性があります。攻撃者は、次の両方の条件が満たされる場合にのみ、この問題を悪用できます: * アプリケーションは JsonTemplateLayout を使用しています。* アプリケーションは、MapMessage をログに記録するか、またはオブジェクトを直接ログに記録します(例えば、オブジェクトメッセージを ObjectMessage にラップする Logger.info(Object)を通じて)、メッセージには攻撃者が制御する浮動小数点値が含まれています。ユーザーは、Apache Log4j JSON Template Layout 2.25.4にアップグレードし、この問題を修正することが推奨されます。注:バージョン 2.25.4 でリリースされた修正が、影響を受けるすべてのコードパスをカバーするわけではありませんでした。 CVE-2026-49844 が残りの問題に割り当てられました。この問題は Log4j API での MapMessage.asJson() のシリアル化に関するもので、バージョン 2.25.5 および 2.26.1 で修正Apache。(CVE-2026-34481)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-34481

medium Nessus プラグイン ID 306041

バージョン 1.13