Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache 2.21.0 から 2.25.3 までのバージョンの Log4j Core の Rfc5424Layout https://logging.apache.org/log4j/2.x/manual/layouts.html#RFC5424Layout は、セキュリティ関連の構成属性の名前変更が公開されていないため、CRLF シーケンスを通じたログインジェクションに脆弱です。2 つの明確な問題が、Rfc5424Layout を直接構成するストリームベースの syslog サービスのユーザーに影響を与えます: * newLineEscape 属性の名前がサイレントに変更され、改行エスケープが TCP フレーミング(RFC 6587)のユーザーに対して機能を停止し、ログ出力で CRLF インジェクションにさらされるようになります。* useTlsMessageFormat 属性がサイレントに変更されたため、TLS フレーミング(RFC 5425)のユーザーは、改行をエスケープせずに、フレームのない TCP(RFC 6587)にサイレントにダウングレードされました。構成属性が変更されていないため、SyslogAppender のユーザーは影響を受けません。ユーザーは、Apache Log4j Core 2.25.4にアップグレードし、この問題を修正することが推奨されます。(CVE-2026-34478)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-34478

medium Nessus プラグイン ID 306185

バージョン 1.8