2023 年 Amazon Linux:log4j、log4j-jcl、log4j-slf4j (ALAS2023-2026-2072)

medium Nessus プラグイン ID 341836

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-2072 のアドバイザリに記載されている脆弱性の影響を受けます。

Apache Log4j APIでのMapMessage JSONシリアル化中の非有限浮動小数点値の不適切なエンコーディングにより、有効なJSONでない出力が生成されます。この問題は、2.25.42.13.1およびバージョン2.26.0のApache Log4j APIバージョンに影響します。

CVE-2026-34481の修正がすべてのコードパスをカバーしているわけではありませんでした:MapMessage に非有限の IEEE 754 値(NaN、無限大、または -無限大)が含まれていると、MapMessage.asJson() は対応するベアトークンを発行します。RFC 8259 はこれらのトークンを許可していないため、準拠したパーサーは生成されたドキュメントを拒否します。

この欠陥は、次の両方の条件が満たされる場合にのみ発生します。

* アプリケーションは、JsonTemplateLayout、または MapMessage.asJson() または MapMessage.getFormattedMessage(new String[]{JSON})に依存する他のレイアウト https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-messageof メッセージリゾルバーを使用します。* アプリケーションは、攻撃者が制御する浮動小数点値を含む MapMessage をログに記録します。

非限定値を指定できる攻撃者が、影響を受けるレイアウトに無効な形式の JSON を出力させることで、外側を囲むログレコードが破損したり、ダウンストリームのログの取り込みと解析が中断されたりする可能性があります。

ユーザーは、Apache Log4j API 2.25.5 または 2.26.1 にアップグレードすることが推奨されます。どちらも非有限値に対して RFC 8259 準拠の JSON を出力します。(CVE-2026-49844)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update log4j --releasever 2023.12.20260831」または「dnf update --advisory ALAS2023-2026-2072 --releasever 2023.12.20260831」を実行してシステムを更新してください。

参考資料

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2072.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-49844.html

プラグインの詳細

深刻度: Medium

ID: 341836

ファイル名: al2023_ALAS2023-2026-2072.nasl

バージョン: 1.1

タイプ: Local

エージェント: unix

ファミリー: Amazon Linux Local Security Checks

公開日: 2026/8/31

更新日: 2026/8/31

サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus