远程 Redhat Enterprise Linux 9 主机上安装的一个或多个程序包受到供应商已确认但并未提供补丁的多个漏洞影响。

  - jetty-server：解析引用值的 Cookie 可泄露其他 Cookie 中的值 (CVE-2023-26049)

  - Jetty 是一个基于 java 的 Web 服务器和 servlet 引擎。在受影响的版本中，对于调用 `HttpServletRequest.getParameter()` 或 `HttpServletRequest.getParts()` 的多部分支持（例如注释为 `@MultipartConfig`）的 servlet，其可能会在客户端发送包含有名称但无文件名且内容非常大的部分的多部分请求时导致 `OutOfMemoryError`。即使使用默认设置 `fileSizeThreshold=0` 也会发生这种情况，该设置应将整个部分内容流式传输到磁盘。攻击者客户端可能会发送大型多部分请求并导致服务器抛出 `OutOfMemoryError`。然而，服务器可能会在 `OutOfMemoryError` 之后恢复并继续其服务，尽管这可能需要一些时间。已在  9.4.51、10.0.14 和 11.0.14 中修补此问题。建议用户升级。
    无法升级的用户可以设置多部分参数 `maxRequestSize`，该参数必须设置为非负值，因此整个多部分内容都会受到限制（尽管仍然读入内存）。
    (CVE-2023-26048)

  - ** 不支持分配 ** 在版本低于 1.7 的 JRE 上配合使用 Chainsaw 或 SocketAppender 组件与 Log4j 1.x 时，如果攻击者设法导致涉及特制（即深度嵌套）哈希图或哈希表（取决于所用的日志组件）的日志条目要被处理，则可能会导致虚拟机中的可用内存被耗尽，并在对象被反序列化时导致拒绝服务。该问题影响 Apache Log4j 2 之前的版本。建议受影响的用户更新到 Log4j 2.x。注意：该漏洞仅影响维护者不再支持的产品。
    (CVE-2023-26464)

请注意，Nessus 并未测试这些问题，而是依赖于程序包管理器报告是否已安装程序包。

检测

RHEL 9：log4j（未修补的漏洞）

medium Nessus 插件 ID 199118

版本 1.3