Rocky Linuxの 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1784624635アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Log4j API の MapMessage JSON シリアル化中に、非有限浮動小数点値のエンコードが不適切であるため、有効な JSON ではない出力が生成されます。この問題は、2.25.42.13.1およびバージョン2.26.0のApache Log4j APIバージョンに影響します。CVE-2026-34481の修正がすべてのコードパスをカバーしているわけではありませんでした:MapMessage に非有限の IEEE 754 値(NaN、無限大、または -無限大)が含まれていると、MapMessage.asJson() は対応するベアトークンを発行します。RFC 8259 はこれらのトークンを許可していないため、準拠したパーサーは生成されたドキュメントを拒否します。この不具合は、次の両方の条件が当てはまる場合にのみ発生します: * アプリケーションは、JsonTemplateLayout のメッセージリゾルバー https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-message 、または MapMessage.asJson() または MapMessage.getFormattedMessage(new String[]{JSON})に依存する他のレイアウトを使用します。 * アプリケーションは、攻撃者が制御する浮動小数点値を含む MapMessage をログに記録します。非限定値を指定できる攻撃者が、影響を受けるレイアウトに無効な形式の JSON を出力させることで、外側を囲むログレコードが破損したり、ダウンストリームのログの取り込みと解析が中断されたりする可能性があります。ユーザーは、Apache Log4j API 2.25.5 または 2.26.1 にアップグレードすることが推奨されます。どちらも非有限値に対して RFC 8259 準拠の JSON を出力します。(CVE-2026-49844)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9.6 [TuxCare] セキュリティ更新プログラム:log4j/log4j-jcl/log4j-slf4j/log4j-web(ALMALINUX9.6:CLSA-2026:1784624635)

medium Nessus プラグイン ID 360099

バージョン 1.1