遠端 Ubuntu 18.04 LTS / 20.04 LTS / 21.04 / 21.10 主機上安裝的一個套件受到 USN-5222-1 公告中所提及的多個弱點影響。

  - 如果對目標 LDAP 伺服器具有控制權的攻擊者設定使用  JDBC Appender 以及 JNDI LDAP 資料來源 URI，Apache Log4j2 2.0-beta7 版至 2.17.0 版 (不包括安全性修正版本 2.3.2 和 2.12.4) 將易於遭受遠端程式碼執行 (RCE) 攻擊。此問題已透過將 JNDI 資料來源名稱限制為 Log4j2 2.17.1、 2.12.4 和 2.3.2 版本中的 java 通訊協定來進行修正。
    (CVE-2021-44832)

  - Apache Log4j2 2.0-alpha1 2.16.0 版以及之前的所有版本 (2.12.3 和 2.3.1 除外) 未能防止自我參照查閱中不受控制的遞回。這會允許可控制執行緒內容對應資料的攻擊者在解譯特製字串時造成拒絕服務。此問題已在 Log4j 2.17.0、2.12.3 和 2.3.1 版中修正。(CVE-2021-45105)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 18.04 LTS / 20.04 LTS：Apache Log4j 2 弱點 (USN-5222-1)

medium Nessus Plugin ID 176377

版本 1.0