Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - CVE-2025-68161 https://logging.apache.org/security.html#CVE-2025-68161 的修复不完整仅在通过 log4j2.sslVerifyHostName https://logging.apache.org/log4j/2.x/manual/systemproperties.html#log4j2.sslVerifyHostName 系统属性启用时才解决主机名验证而在通过 <Ssl> 元素的 verifyHostName https://logging.apache.org/log4j/2.x/manual/appenders/network.html#SslConfiguration-attr-verifyHostNameattribute 配置时则不解决。尽管在 Log4j Core 2.12.0中引入了 verifyHostName 配置属性但在 2.25.3之前的所有版本中该属性都会被静默地忽略从而使 TLS 连接无论配置的值如何而容易受到拦截。当满足下列所有条件时基于网络的攻击者可能可执行中间人攻击 * 正在使用 SMTP、套接字或 Syslog 附加程序。 * TLS 通过嵌套的 <Ssl> 元素进行配置。 * 攻击者可以显示受 Appender 的配置信任存储信任的 CA 颁发的证书或由默认 Java 信任存储如果未配置信任存储信任的 CA 颁发的证书。此问题不影响 HTTP 附加器的用户其使用不受此缺陷影响的单独 verifyHostname https://logging.apache.org/log4j/2.x/manual/appenders/network.html#HttpAppender-attr-verifyHostName 属性并且默认验证主机名。建议用户升级到 Apache Log4j Core 2.25.4其中修正了此问题。 (CVE-2026-34477)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-34477

medium Nessus 插件 ID 306170

版本 1.1