Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - CVE-2025-68161 https://logging.apache.org/security.html#CVE-2025-68161 に対する修正は不完全でした。log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName システムプロパティを介して有効化された場合にのみ、ホスト名の検証に対処しましたが、 <Ssl> 要素の verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostNameattribute を介して構成された場合は対処しませんでした。verifyHostName 構成属性が Log4j Core 2.12.0で導入されましたが、 2.25.3までのすべてのバージョンでサイレントに無視され、構成された値に関係なく TLS 接続が傍受に対して脆弱なままです。ネットワークベースの攻撃者は、次のすべての条件が満たされたときに中間者攻撃を実行できる可能性があります。* SMTP、Socket、またはSyslogアダーが使用されている。 * TLS はネスト化された <Ssl> 要素を通じて構成されます。 * 攻撃者は、アペンダーの構成済みのトラストストア、または何も構成されていない場合はデフォルトの Java トラストストアによって信頼されている CA によって発行された証明書を提示することができます。この問題は HTTP アペンダーのユーザーに影響を与えません。HTTP アペンダーは、このバグの対象ではない別の verifyHostname https://logging.apache.org/log4j/2.x/manual/appenders/network.html#HttpAppender-attr-verifyHostName 属性を使用し、デフォルトでホスト名を検証します。ユーザーは、この問題を修正する Apache Log4j Core 2.25.4にアップグレードすることが推奨されます。CVE-2026-34477

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-34477

medium Nessus プラグイン ID 306170

バージョン 1.9