Amazon Linux 2023log4j、log4j-jcl、log4j-slf4j (ALAS2023-2026-1398)
medium Nessus 插件 ID 299535
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，它受到 ALAS2023-2026-1398 公告中提及的一个漏洞影响。Apache Log4j Core 版本 2.0-beta9 到 2.25.2 中的 Socket Appender 不执行对等证书的 TLS 主机名验证即使 verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostNameconfiguration 属性或 log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostNamesystemproperty 设置为 true 时也是如此。
此问题可能允许中间人攻击者在下列情况下拦截或重定向日志流量:
* 攻击者能够拦截或重定向客户端与日志接收器之间的网络流量。* 攻击者可以提供由受套接字 Appender 所配置的信任存储信任的证书颁发机构信任的服务器证书或由默认 Java 信任存储如果没有信任的已配置自定义信任存储。
建议用户升级到 Apache Log4j Core 版本 2.25.3该版本可解决此问题。
作为替代的缓解措施可将套接字 Appender 配置为使用私有或受限的信任根来限制受信任证书集。 (CVE-2025-68161)
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update log4j --releasever 2023.10.20260216”或“dnf update --advisory ALAS2023-2026-1398 --releasever 2023.10.20260216”以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-1398.html
插件详情
严重性: Medium
ID: 299535
文件名: al2023_ALAS2023-2026-1398.nasl
版本: 1.1
类型: local
代理: unix
发布时间: 2026/2/19
最近更新时间: 2026/2/19
支持的传感器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.0
CVSS v2
风险因素: Medium
基本分数: 4
时间分数: 3.1
矢量: CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:N
CVSS 分数来源: CVE-2025-68161
CVSS v3
风险因素: Medium
基本分数: 4.8
时间分数: 4.3
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.3
Threat Score: 2.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:L/SA:N
漏洞信息
CPE: p-cpe:/a:amazon:linux:log4j-slf4j, p-cpe:/a:amazon:linux:log4j-jcl, cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:log4j
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/2/18
漏洞发布日期: 2025/12/18
参考资料信息
CVE: CVE-2025-68161