因此，它受到 ALAS2023-2026-1398 公告中提及的一个漏洞影响。

    Apache Log4j Core 版本 2.0-beta9 到 2.25.2 中的 Socket Appender 不执行对等证书的 TLS 主机名验证即使 verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostNameconfiguration 属性或 log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostNamesystemproperty 设置为 true 时也是如此。

    此问题可能允许中间人攻击者在下列情况下拦截或重定向日志流量:

    * 攻击者能够拦截或重定向客户端与日志接收器之间的网络流量。* 攻击者可以提供由受套接字 Appender 所配置的信任存储信任的证书颁发机构信任的服务器证书或由默认 Java 信任存储如果没有信任的已配置自定义信任存储。

    建议用户升级到 Apache Log4j Core 版本 2.25.3该版本可解决此问题。

    作为替代的缓解措施可将套接字 Appender 配置为使用私有或受限的信任根来限制受信任证书集。 (CVE-2025-68161)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023log4j、log4j-jcl、log4j-slf4j (ALAS2023-2026-1398)

medium Nessus 插件 ID 299535

版本 1.1