Linux Distros 未修補弱點：CVE-2023-31038
high Nessus Plugin ID 226714
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，供應商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- 使用 ODBC appender 將記錄訊息傳送至資料庫時，Log4cxx 中發生 SQL 插入。未針對 SQL 插入正確逸出傳送至資料庫的欄位。至少從 版 0.9.0(2003-08-06 發布) 開始就是如此。請注意，Log4cxx 是 C++ 架構，因此只有 C++ 應用程式會受到影響。
在 1.1.0版之前，如果在編譯程式庫時發現該程式庫，ODBC 附加程式會自動成為 Log4cxx 的一部分。自 1.1.0版起，必須同時明確啟用此功能，才能在其中進行編譯。必須符合三個先決條件，此弱點才有可能發生：1. 使用 ODBC 支援編譯的 Log4cxx (在 1.1.0版之前，會在編譯時自動偵測此問題) 2. 已啟用 ODBCAppender 來記錄訊息，通常是透過設定檔 3 完成。系統會在某個時間點記錄使用者輸入。如果您的應用程式沒有使用者輸入，則不太可能受到影響。建議使用者升級至 1.1.0 版，其可將參數正確係結至 SQL 陳述式，或移轉至除其他資料庫外還支援 ODBC 連線的新 DBAppender 類別。請注意，此修正需要設定檔更新，因為舊版設定檔將無法正確設定。範例如下所示，詳細資訊可在 ODBCAppender 上的 Log4cxx 文件中找到。舊組態程式碼範例：<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES ('%m') />... 此處為其他參數 ...</appender> 已移轉的組態片段具有新的 ColumnMapping 參數：<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES (?) /> <param name=ColumnMapping value=message/>... 此處為其他參數... </appender> (CVE-2023-31038)
請注意，Nessus 依賴供應商報告的套件存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 226714
檔案名稱: unpatched_CVE_2023_31038.nasl
版本: 1.2
類型: local
代理程式: unix
系列: Misc.
已發布: 2025/3/5
已更新: 2025/8/21
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 7.5
時間性分數: 5.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2023-31038
CVSS v3
風險因素: High
基本分數: 8.8
時間性分數: 7.9
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:canonical:ubuntu_linux:log4cxx, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:log4cxx, cpe:/o:canonical:ubuntu_linux:25.04, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:debian:debian_linux:12.0, cpe:/o:canonical:ubuntu_linux:14.04:-:lts
必要的 KB 項目: Host/OS/identifier, Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched
可被惡意程式利用: true
可輕鬆利用: Exploits are available
弱點發布日期: 2023/5/8
參考資訊
CVE: CVE-2023-31038