AlmaLinux 9.6 [TuxCare] セキュリティ更新:log4j / log4j-jcl / log4j-slf4j / log4j-web (ALMALINUX9.6:CLSA-2026:1779124827)

medium Nessus プラグイン ID 352053

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1779124827アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- Apacheの Log4j 1-to-Log4j 2 ブリッジからの Log4j1XmlLayout は、XML 1.0 標準で禁止されている文字をエスケープできず、無効な形式の XML 出力を生成します。適合する XML パーサーは、致命的なエラーを伴うそのような文字を含むドキュメントを拒否するために必要です。これにより、下流のログ処理システムが、影響を受けるレコードをドロップさせたり、インデックス作成に失敗したりする可能性があります。次の 2 つのユーザーグループが影響を受けます:* Log4j Core 2 構成ファイルで Log4j1XmlLayout を直接使用しているユーザー。* レイアウトクラスとして指定されている org.apache.log4j.xml.XMLLayout を伴う Log4j 1 構成互換性レイヤーを使用しているもの。ユーザーは、Apache Log4j 1-to-Log4j 2 ブリッジバージョン 2.25.4 にアップグレードし、この問題を修正することが推奨されます。注:Apache Log4j 1-to-Log4j 2 ブリッジは廃止され、Log4j 3 には存在しません。ユーザーは、Log4j 1からLog4j 2への移行ガイド https://logging.apache.org/log4j/2.x/migrate-from-log4j1.html 、特にブリッジへの依存の排除に関するセクションを参照することをお勧めします。(CVE-2026-34479)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。