リモートホスト上の Apache Log4j のバージョンは、脆弱性の影響を受けます:

  - Apache Log4j API での MapMessage JSON シリアル化中の非有限浮動小数点値の不適切なエンコーディングにより、無効な JSON の出力が生成されます。MapMessage に非有限の IEEE 754 値 (NaN、Infinity、または -Infinity) が含まれている場合、MapMessage.asJson() は対応するベアトークンを出力します。RFC 8259 はこれらのトークンを許可しないため、適合パーサーは結果のドキュメントを拒否します。非限定値を指定できる攻撃者が、影響を受けるレイアウトに無効な形式の JSON を出力させることで、外側を囲むログレコードが破損したり、ダウンストリームのログの取り込みと解析が中断されたりする可能性があります。(CVE-2026-49844)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Apache Log4j 2.13.1 < 2.25.5 / 2.26.0 < 2.26.1 不適切なJSONシリアル化(CVE-2026-49844)

medium Nessus プラグイン ID 327598

変更ログが見つかりません