Amazon Linux 2023：log4j、log4j-jcl、log4j-slf4j （ALAS2023-2026-2072）

medium Nessus Plugin ID 341836

語言:

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，它會受到 ALAS2023-2026-2072 公告中提及的一個弱點影響。

在 Apache Log4j API 中 MapMessage JSON 序列化期間，非有限浮點值的編碼不當會產生無效 JSON 的輸出。此問題會影響 Apache Log4j API 版本 2.13.12.25.4 和 2.26.0版本。

的 CVE-2026-34481 修正並未涵蓋所有程式碼路徑：當 MapMessage 包含非有限 IEEE 754 值（NaN、Infinity 或 -Infinity）時，MapMessage.asJson（）會發出對應的裸權杖。RFC 8259 不允許這些權杖，因此符合規範的剖析器會拒絕產生的文件。

只有在下列兩個條件都成立時，才能達到缺陷：

* 應用程式使用訊息剖析器 https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-messageof JsonTemplateLayout 或任何其他依賴 MapMessage.asJson（）或 MapMessage.getFormattedMessage（new String[]{JSON}）的配置。* 應用程式會記錄包含攻擊者控制的浮點值的 MapMessage。

能夠提供非有限值的攻擊者可導致受影響的配置發出格式錯誤的 JSON，這可能會損毀封閉的記錄記錄，或中斷下游記錄擷取和剖析。

建議使用者升級至 Apache Log4j API 2.25.5 或 2.26.1，兩者都會針對非有限值發出符合 RFC 8259 規範的 JSON。（CVE-2026-49844）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

執行「dnf update log4j --releasever 2023.12.20260831」或「dnf update --advisory ALAS2023-2026-2072 --releasever 2023.12.20260831」來更新您的系統。

另請參閱

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2072.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-49844.html

Plugin 詳細資訊

嚴重性: Medium

ID: 341836

檔案名稱: al2023_ALAS2023-2026-2072.nasl

版本: 1.1

類型: Local

代理程式: unix

系列: Amazon Linux Local Security Checks

已發布: 2026/8/31

已更新: 2026/8/31

支援的感應器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus