Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - CVE-2025-68161 https://logging.apache.org/security.html#CVE-2025-68161 的修正不完整僅在透過 log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName 系統屬性啟用時解決主機名稱驗證問題但在透過 <Ssl> 元素的 verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostNameattribute 設定時未解決。雖然在 Log4j Core 2.12.0中引入了 verifyHostName 組態屬性但在 2.25.3之前的所有版本中它還是遭到無訊息忽略導致無論設定值為何 TLS 連線都容易遭到攔截。當符合下列所有條件時網路攻擊者可能能夠執行攔截式攻擊* 正在使用 SMTP、Socket 或 Syslog appender。 * TLS 是透過巢狀 <Ssl> 元素設定。 * 攻擊者可以出示由附加程式之已設定信任存放區或預設 Java 信任存放區 (若未設定) 所信任之 CA 所發出的憑證。此問題不會影響 HTTP appender 的使用者其使用不受此錯誤影響的獨立 verifyHostname https://logging.apache.org/log4j/2.x/manual/appenders/network.html#HttpAppender-attr-verifyHostName 屬性且預設會驗證主機名稱。建議使用者升級至 Apache Log4j Core 2.25.4其可更正此問題。 (CVE-2026-34477)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2026-34477

medium Nessus Plugin ID 306170

版本 1.9