根據其自我報告的版本號碼，遠端主機上安裝的 Apache Log4j 1.x 版本不再受到支援。Log4j 已在 2016 年之前結束其生命週期。此外，Log4j 1.x 會受到多個弱點影響，包括：

  - Log4j 中包含一個 SocketServer，其會接受序列化記錄事件並在未驗證物件是否受到允許的情況下將其還原序列化。這可能會提供可遭惡意利用的攻擊媒介。(CVE-2019-17571)

  - Apache Log4j SMTP 附加器中存在不當驗證與主機不相符的憑證錯誤。該錯誤允許 SMTPS 連線遭攔截式攻擊攔截，進而洩漏透過該附加程式傳送的任何記錄訊息。(CVE-2020-9488)

  - JMSSink 以未受保護的方式使用 JNDI，因此如果將使用 JMSSink 的應用程式設定為參照不受信任的網站，或是如果攻擊者可以存取參照的網站，則該應用程式將容易受到攻擊。
    (CVE-2022-23302)

不再支援表示供應商不再對於產品提供任何新的安全性修補程式。因此，作業系統可能包含安全性弱點。

偵測

Apache Log4j 1.x 多個弱點

critical Nessus Plugin ID 156860

版本 1.9