Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache Log4j Core 的 XmlLayout https://logging.apache.org/log4j/2.x/manual/layouts.html#XmlLayout 至并包括 2.25.3无法审查 XML 禁止的字符 1.0 规范 https://www.w3.org/TR/xml/#charsets 每当日志消息或 MDC 值包含此类字符时就会产生无效的 XML 输出。影响取决于使用的 StAX 实现* JRE 内置 StAX
    禁止的字符会静默地写入输出从而生成畸形 XML。合规的解析器必须以致命错误拒绝此类文档其可造成下游日志处理系统丢弃受影响的记录。 * 替代的 StAX 实现例如 Woodstox https://github.com/FasterXML/woodstox、Jackson XML Dataformat 模块的可传递依存关系在日志记录调用期间抛出异常并且日志事件从未发送至其预期的附加程序而仅发送至 Log4j 的内部状态记录器。建议用户升级到 Apache Log4j Core 2.25.4其通过在 XML 输出前审查禁止的字符修正了此问题。 (CVE-2026-34480)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-34480

medium Nessus 插件 ID 306043

版本 1.1