The remote Fedora 41 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2025-1b48c1a920 advisory.

    Update to 1.5.0, fix CVE-2025-54813, CVE-2025-22838

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Fedora 41 ホストには、FEDORA-2025-1b48c1a920 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    1.5.0への更新、CVE-2025-54813、CVE-2025-22838を修正します

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Apache Log4cxx 中的日誌弱點不當輸出中和。使用 JSONLayout 時並非所有承載位元組都會正確逸出。如果攻擊者提供的訊息含有某些不可列印的字元這些字元會在訊息中傳遞並做為 JSON 訊息的一部分寫出。這可能會阻止消耗這些記錄的應用程式正確解譯其中的資訊。
    此問題會影響 1.5.0之前的 Apache Log4cxx。建議使用者升級至 1.5.0 版，即可修正此問題。(CVE-2025-54813)

請注意，Nessus 依賴供應商報告的套件存在。

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4322 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4322-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Lukas Mrdian     October 05, 2025                              https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : log4cxx     Version        : 0.11.0-2+deb11u1     CVE ID         : CVE-2025-54812 CVE-2025-54813     Debian Bug     : 1111879 1111881

    Multiple vulnerabilities were discovered in log4cxx, a logging library     for C++ that is compatible with the JAVA log4j framework.

    CVE-2025-54812

        When using HTMLLayout, logger names are not properly escaped when         writing out to the HTML file. If untrusted data is used to retrieve         the name of a logger, an attacker could theoretically inject HTML or         Javascript in order to hide information from logs or steal data from         the user.

    CVE-2025-54813

        When using JSONLayout, not all payload bytes are properly escaped.
        If an attacker-supplied message contains certain non-printable         characters, these will be passed along in the message and written out         as part of the JSON message. This may prevent applications that         consume these logs from correctly interpreting the information within         them.

    For Debian 11 bullseye, these problems have been fixed in version     0.11.0-2+deb11u1.

    We recommend that you upgrade your log4cxx packages.

    For the detailed security status of log4cxx please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/log4cxx

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Improper Output Neutralization for Logs vulnerability in Apache Log4cxx. When using JSONLayout, not all     payload bytes are properly escaped. If an attacker-supplied message contains certain non-printable     characters, these will be passed along in the message and written out as part of the JSON message. This     may prevent applications that consume these logs from correctly interpreting the information within them.
    This issue affects Apache Log4cxx: before 1.5.0. Users are recommended to upgrade to version 1.5.0, which     fixes the issue. (CVE-2025-54813)

Note that Nessus relies on the presence of the package as reported by the vendor.

リモートのDebian 11ホストには、dla-4322アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4322-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lukas Mrdian 2025 年 10 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ log4cxx バージョン 0.11.0-2+deb11u1 CVE ID CVE-2025-54812 CVE-2025-54813 Debian バグ1111879 1111881

    JAVA log4j フレームワークと互換性のある C++ 用のロギングライブラリである log4cxx に複数の脆弱性が発見されました。

    CVE-2025-54812

        HTMLLayout の使用時、HTML ファイルへの書き込み時にロガー名が適切にエスケープされません。ロガーの名前を取得するために、信頼できないデータが使用される場合、攻撃者が、理論的には、HTML または Javascript を注入して、ログから情報を隠したり、ユーザーからデータを盗み出す可能性があります。

    CVE-2025-54813

        JSONLayout を使用する際、すべてのペイロードバイトが適切にエスケープされません。
        攻撃者が指定したメッセージに特定のプリント不能な文字が含まれている場合、これらの文字はメッセージを通して渡され、JSONメッセージの一部として書き出されます。これにより、これらのログを消費するアプリケーションがログ内の情報を正しく解釈できない可能性があります。

    Debian 11 Bullseyeでは、これらの問題はバージョン0.11.0-2+deb11u1で修正されました。

    log4cxx パッケージをアップグレードすることを推奨します。

    log4cxx の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/log4cxx

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Log4cxx でのログの不適切な出力中性化の脆弱性。JSONLayout を使用する際、すべてのペイロードバイトが適切にエスケープされません。攻撃者が指定したメッセージに特定のプリント不能な文字が含まれている場合、これらの文字はメッセージを通して渡され、JSONメッセージの一部として書き出されます。これにより、これらのログを消費するアプリケーションがログ内の情報を正しく解釈できない可能性があります。
    この問題は Apache Log4cxx より 1.5.0前の に影響します。ユーザーには、この問題を修正したバージョンであるバージョン 1.5.0 へのアップグレードをお勧めします。(CVE-2025-54813)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4322 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4322-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lukas Mrdian 2025 年 10 月 05 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包log4cxx 版本0.11.0-2+deb11u1 CVE ID CVE-2025-54812 CVE-2025-54813 Debian 缺陷11118791111881

    在 log4cxx兼容 JAVA log4j 框架的 C++ 日志记录库中发现多个漏洞。

    CVE-2025-54812

        使用 HTMLLayout 时记录器名称在写出到 HTML 文件时未正确转义。如果不受信任的数据用于检索记录器的名称理论上攻击者可注入 HTML 或 Javascript以便隐藏日志信息或窃取用户数据。

    CVE-2025-54813

        使用 JSONLayout 时并非所有负载字节都正确转义。
        如果攻击者提供的消息包含某些不可打印字符则这些字符将在消息中传递并作为 JSON 消息的一部分写出。这可阻止使用这些日志的应用程序正确解释其中的信息。

    对于 Debian 11 Bullseye已在版本 0.11.0-2+deb11u1 中修复这些问题。

    我们建议您升级 log4cxx 程序包。

    有关 log4cxx 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/log4cxx

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache Log4cxx 中日志漏洞的不当输出中和。使用 JSONLayout 时并非所有负载字节都正确转义。如果攻击者提供的消息包含某些不可打印字符则这些字符将在消息中传递并作为 JSON 消息的一部分写出。这可阻止使用这些日志的应用程序正确解释其中的信息。
    此问题影响 Apache Log4cxx低于 的 1.5.0。建议用户升级到修复了此问题的版本 1.5.0。(CVE-2025-54813)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4322 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4322-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lukas Mrdian 2025 年 10 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 0.11.0-2+deb11u1 CVE ID CVE-2025-54812 CVE-2025-54813 Debian 錯誤 1111879 1111881

    在 log4cxx (與 JAVA log4j 架構相容的 C++ 記錄程式庫) 中發現多個弱點。

    CVE-2025-54812

        使用 HTMLLayout 時在寫入 HTML 檔案時記錄器名稱未正確逸出。如果使用未受信任的資料來擷取記錄器的名稱攻擊者理論上可插入 HTML 或 Javascript以隱藏記錄中的資訊或竊取使用者的資料。

    CVE-2025-54813

        使用 JSONLayout 時並非所有承載位元組都會正確逸出。
        如果攻擊者提供的訊息含有某些不可列印的字元這些字元會在訊息中傳遞並做為 JSON 訊息的一部分寫出。這可能會阻止消耗這些記錄的應用程式正確解譯其中的資訊。

    針對 Debian 11 Bullseye這些問題已在 0.11.0-2+deb11u1 版本中修正。

    我們建議您升級 log4cxx 套件。

    如需 log4cxx 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/log4cxx

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
270101	Fedora 41 : log4cxx (2025-1b48c1a920)	Nessus	Fedora Local Security Checks	2025/10/11	2025/10/11	medium
270101	Fedora 41log4cxx2025-1b48c1a920	Nessus	Fedora Local Security Checks	2025/10/11	2025/10/11	medium
260302	Linux Distros 未修補的弱點：CVE-2025-54813	Nessus	Misc.	2025/9/2	2025/10/14	medium
266592	Debian dla-4322 : liblog4cxx-dev - security update	Nessus	Debian Local Security Checks	2025/10/4	2025/10/4	medium
260302	Linux Distros Unpatched Vulnerability : CVE-2025-54813	Nessus	Misc.	2025/9/2	2025/10/14	medium
266592	Debian dla-4322liblog4cxx-dev - セキュリティ更新	Nessus	Debian Local Security Checks	2025/10/4	2025/10/4	medium
260302	Linux Distros のパッチ未適用の脆弱性: CVE-2025-54813	Nessus	Misc.	2025/9/2	2025/10/14	medium
266592	Debian dla-4322liblog4cxx-dev - 安全更新	Nessus	Debian Local Security Checks	2025/10/4	2025/10/4	medium
260302	Linux Distros 未修补的漏洞：CVE-2025-54813	Nessus	Misc.	2025/9/2	2025/10/14	medium
266592	Debian dla-4322liblog4cxx-dev - 安全性更新	Nessus	Debian Local Security Checks	2025/10/4	2025/10/4	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium