Amazon Linux 2023：log4j、log4j-jcl、log4j-slf4j （ALAS2023-2026-2072）

medium Nessus 插件 ID 341836

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，它受到 ALAS2023-2026-2072 公告中提及的一个漏洞影响。

在 Apache Log4j API 中进行 MapMessage JSON 序列化期间，对非有限浮点值的不当编码会产生非有效 JSON 的输出。此问题会影响 Apache Log4j API 的所有2.25.4版本2.13.1和版本2.26.0。

的 CVE-2026-34481 补丁并未涵盖所有代码路径：当 MapMessage 包含非有限 IEEE 754 值（NaN、Infinity 或 -Infinity）时，MapMessage.asJson（）会发出相应的裸标记。RFC 8259 不允许这些标记，因此合规的解析器会拒绝生成的文档。

只有当满足以下两个条件时，才能达到缺陷：

* 应用程序使用消息解析器 https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-messageof JsonTemplateLayout 或任何其他依赖 MapMessage.asJson（）或 MapMessage.getFormattedMessage（new String[]{JSON}）的布局。* 应用程序记录的 MapMessage 包含攻击者控制的浮点值。

能够提供非有限值的攻击者可造成受影响的布局发出畸形 JSON，从而损坏包含的日志记录或中断下游日志的摄取和解析。

建议用户升级到 Apache Log4j API 2.25.5 或 2.26.1，两者均会针对非有限值发出符合 RFC 8259 的 JSON。（CVE-2026-49844）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

运行“dnf update log4j --releasever 2023.12.20260831”或“dnf update --advisory ALAS2023-2026-2072 --releasever 2023.12.20260831”以更新系统。

另见

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2072.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-49844.html

插件详情

严重性: Medium

ID: 341836

文件名: al2023_ALAS2023-2026-2072.nasl

版本: 1.1

类型: Local

代理: unix

系列: Amazon Linux Local Security Checks

发布时间: 2026/8/31

最近更新时间: 2026/8/31

支持的传感器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus