Apache Log4j 2.13.1 < 2.25.5 / 2.26.0 < 2.26.1 不適切な JSON シリアル化 (CVE-2026-49844)
medium Nessus プラグイン ID 327598
Language:
概要
リモートホストにインストールされているログライブラリは、不適切な出力エンコードの脆弱性の影響を受けます。説明
リモートホスト上の Apache Log4j のバージョンは、脆弱性の影響を受けます。- Apache Log4j API の MapMessage JSON シリアル化中に、非有限浮動小数点値のエンコードが不適切であるため、有効な JSON ではない出力が生成されます。MapMessage に非有限の IEEE 754 値 (NaN、Infinity、または -Infinity) が含まれている場合、MapMessage.asJson() は対応する未引用のトークンを出力します。RFC 8259 はこれらのトークンを許可していないため、準拠したパーサーは生成されたドキュメントを拒否します。非有限値を指定できる攻撃者は、この問題を悪用して、影響を受けるレイアウトに不正な形式の JSON を出力させ、外部のログレコードを破損させたり、下流のログ取り込みおよび解析を妨害したりする可能性があります。(CVE-2026-49844)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Apache Log4j バージョン 2.25.5 または 2.26.1 以降にアップグレードしてください。その他のブランチについては、利用可能になり次第、修正済みバージョンにアップグレードしてください。参考資料
プラグインの詳細
深刻度: Medium
ID: 327598
ファイル名: apache_log4j_CVE-2026-49844.nasl
バージョン: 1.3
タイプ: Local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2026/7/17
更新日: 2026/7/20
サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.72
CVSS v2
リスクファクター: Medium
基本値: 5.4
現状値: 4
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:N/I:C/A:N
CVSS スコアのソース: CVE-2026-49844
CVSS v3
リスクファクター: Medium
基本値: 5.9
現状値: 5.2
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: Medium
Base Score: 6.3
Threat Score: 1.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
脆弱性情報
CPE: cpe:/a:apache:log4j
必要な KB アイテム: installed_sw/Apache Log4j
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/7/10
脆弱性公開日: 2026/7/10
参照情報
CVE: CVE-2026-49844
IAVA: 2026-A-0688