远程 Debian 9 主机上安装的程序包受到 dla-2852 公告中提及的多个漏洞影响。

  - 未正确验证 Apache Log4j SMTP 附加程序中与主机不匹配的证书。这可允许中间人发动拦截 SMTPS 连接攻击，进而泄露通过该附加程序发送的任何日志消息。(CVE-2020-9488)

  - Apache Log4j2 2.0-alpha1 至 2.16.0 版（不包含 2.12.3）未成功防止来自自引用查找的不受控制的递归。这将允许能够控制线程上下文映射数据的攻击者在转译构建的字符串时造成拒绝服务。此问题已在 Log4j 2.17.0 版和 2.12.3 版中修复。(CVE-2021-45105)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Debian DLA-2852-1：apache-log4j2 - LTS 安全更新

low Nessus 插件 ID 156396

版本 1.6