远程主机上安装的 java-1.7.0-openjdk 版本低于 1.7.0.261-2.6.22.2。远程主机上安装的 java-1.8.0-openjdk 版本低于 1.8.0.312.b07-1。远程主机上安装的 java-11-amazon-corretto 版本低于 11.0.13+8-2。远程主机上安装的 java-17-amazon-corretto 版本低于 17.0.1+12-3。因此，如公告 ALAS2-2021-1731 所述，该主机受到多个漏洞的影响。

  - 在 2.0-beta9 版至 2.12.1 版以及 2.13.0 版至 2.15.0 版的 Apache Log4j2 中，配置、日志消息和参数所使用的 JNDI 功能无法防范由攻击者控制的 LDAP 和其他与 JNDI 相关的端点。
    若启用消息查找替换，拥有日志消息或日志消息参数控制权限的攻击者可执行从 LDAP 服务器加载的任意代码。自 log4j 2.15.0 版本开始，此行为已默认禁用。自版本 2.16.0 起，已完全删除此功能。请注意，此漏洞为 log4j-core 特有，不会影响 log4net、log4cxx 或其他 Apache 日志服务项目。(CVE-2021-44228)

  - 据发现，在某些非默认配置中，对 Apache Log4j 2.15.0 中地址 CVE-2021-44228 的修复不完整。当日志记录配置使用具有上下文查找（例如，$${ctx:loginId}）或线程上下文映射模式（%X、%mdc 或 %MDC）的非默认模式布局来构建使用 JNDI 查找模式的恶意输入数据，该漏洞可允许攻击者控制线程上下文映射 (MDC) 输入数据并进而导致拒绝服务 (DOS) 攻击。Log4j 2.15.0 默认尽可能将 JNDI LDAP 查找限制为 localhost。Log4j 2.16.0 通过删除对消息查找模式的支持并默认禁用 JNDI 功能来修复此问题。(CVE-2021-45046)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Amazon Linux 2：java-17-amazon-corretto、java-11-amazon-corretto、java-1.8.0-openjdk、java-1.7.0-openjdk (ALAS-2021-1731)

critical Nessus 插件 ID 156182

版本 1.7