远程 Debian 10/11 主机上安装的程序包受到 dsa-5024 公告中提及的一个漏洞影响。

  - Apache Log4j2 2.0-alpha1 至 2.16.0 版（不包含 2.12.3）未成功防止来自自引用查找的不受控制的递归。这将允许能够控制线程上下文映射数据的攻击者在转译构建的字符串时造成拒绝服务。此问题已在 Log4j 2.17.0 版和 2.12.3 版中修复。(CVE-2021-45105)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Debian DSA-5024-1：apache-log4j2 - 安全更新

medium Nessus 插件 ID 156189

版本 1.7