AlmaLinux 9.2 [TuxCare] 安全更新：log4j / log4j-jcl / log4j-slf4j / log4j-web （ALMALINUX9.2：CLSA-2026：1787235852）

medium Nessus 插件 ID 352321

语言：

简介

AlmaLinux 主机缺少一个或多个安全更新。

描述

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：1787235852公告中提及的漏洞的影响。

- 在 Apache Log4j API 中进行 MapMessage JSON 序列化期间对非有限浮点值的不当编码会产生非有效 JSON 的输出。此问题会影响 Apache Log4j API 的所有2.25.4版本2.13.1和版本2.26.0。的 CVE-2026-34481 补丁并未涵盖所有代码路径：当 MapMessage 包含非有限 IEEE 754 值（NaN、Infinity 或 -Infinity）时，MapMessage.asJson（）会发出相应的裸标记。RFC 8259 不允许这些标记，因此合规的解析器会拒绝生成的文档。只有当以下两个条件都成立时，才能访问此缺陷：* 应用程序使用 JsonTemplateLayout 的消息解析器 https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-message ，或依赖 MapMessage.asJson（）或 MapMessage.getFormattedMessage（new String[]{JSON}）的任何其他布局。 * 应用程序记录的 MapMessage 包含攻击者控制的浮点值。能够提供非有限值的攻击者可造成受影响的布局发出畸形 JSON，从而损坏包含的日志记录或中断下游日志的摄取和解析。建议用户升级到 Apache Log4j API 2.25.5 或 2.26.1，两者均会针对非有限值发出符合 RFC 8259 的 JSON。（CVE-2026-49844）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。