Apache Log4j 2.13.1 < 2.25.5 / 2.26.0 < 2.26.1 不適切なJSONシリアル化(CVE-2026-49844)
medium Nessus プラグイン ID 327598
Language:
概要
リモートホストにインストールされているログライブラリは、不適切な出力エンコードの脆弱性の影響を受けます。説明
リモートホスト上の Apache Log4j のバージョンは、脆弱性の影響を受けます:- Apache Log4j API での MapMessage JSON シリアル化中の非有限浮動小数点値の不適切なエンコーディングにより、無効な JSON の出力が生成されます。MapMessage に非有限の IEEE 754 値 (NaN、Infinity、または -Infinity) が含まれている場合、MapMessage.asJson() は対応するベアトークンを出力します。RFC 8259 はこれらのトークンを許可しないため、適合パーサーは結果のドキュメントを拒否します。非限定値を指定できる攻撃者が、影響を受けるレイアウトに無効な形式の JSON を出力させることで、外側を囲むログレコードが破損したり、ダウンストリームのログの取り込みと解析が中断されたりする可能性があります。(CVE-2026-49844)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Apache Log4jバージョン 2.25.5 または 2.26.1 以降にアップグレードしてください。その他のブランチについては、利用可能なときに修正バージョンにアップグレードしてください。参考資料
プラグインの詳細
深刻度: Medium
ID: 327598
ファイル名: apache_log4j_CVE-2026-49844.nasl
バージョン: 1.3
タイプ: Local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2026/7/17
更新日: 2026/7/20
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5
パーセンタイル: 94.12
CVSS v2
リスクファクター: Medium
基本値: 5.4
現状値: 4
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:N/I:C/A:N
CVSS スコアのソース: CVE-2026-49844
CVSS v3
リスクファクター: Medium
基本値: 5.9
現状値: 5.2
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: Medium
Base Score: 6.3
Threat Score: 1.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
脆弱性情報
CPE: cpe:/a:apache:log4j
必要な KB アイテム: installed_sw/Apache Log4j
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/7/10
脆弱性公開日: 2026/7/10
参照情報
CVE: CVE-2026-49844
IAVA: 2026-A-0688