遠端 Debian 11 主機安裝了一個套件其受到 dla-4444 公告中所提及的一個弱點影響。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4444-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2026 年 1 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 apache-log4j2 版本 2.17.1-1~deb11u2 CVE ID CVE-2025-68161 Debian 錯誤 1123744

    在 Java 記錄架構 Apache Log4j2 中即使將 verifyHostName 組態屬性或 log4j2.sslVerifyHostName 系統屬性設為 trueSocket Appender 也不會執行對等端憑證的 TLS 主機名稱驗證。此問題可允許攔截式攻擊者在特定且難以惡意利用的情形下攔截或重新導向記錄流量。

    針對 Debian 11 Bullseye此問題已在 2.17.1-1~deb11u2 版本中修正。

    建議您升級 apache-log4j2 套件。

    如需 apache-log4j2 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/apache-log4j2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4444liblog4j2-java - 安全性更新

medium Nessus Plugin ID 293760

版本 1.1