Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 1.7.0之前的版本中Apache Log4cxx 的 XMLLayout https://logging.apache.org/log4cxx/1.7.0/classlog4cxx_1_1xml_1_1XMLLayout.html無法清理記錄訊息、NDC 與 MDC 內容金鑰與值中 XML 1.0 規格 https://www.w3.org/TR/xml/#charsets 禁止的字元進而產生無效的 XML 輸出。相容的 XML 剖析器必須拒絕這類含有嚴重錯誤的文件其可造成下游記錄處理系統中斷或無法為受影響的記錄編制索引。可影響記錄資料的攻擊者可惡意利用此弱點隱藏個別的記錄記錄進而影響稽核追踪和惡意活動偵測。建議使用者升級至 Apache Log4cxx 1.7.0其可修正此問題。
    (CVE-2026-40023)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在低于 1.7.0的版本中Apache Log4cxx 的 XMLLayout https://logging.apache.org/log4cxx/1.7.0/classlog4cxx_1_1xml_1_1XMLLayout.html无法审查日志消息、NDC 以及 MDC 属性键和值中 XML 1.0 规范 https://www.w3.org/TR/xml/#charsets 禁止的字符从而产生无效的 XML 输出。合规性 XML 解析器必须以致命错误拒绝此类文档其可造成下游日志处理系统丢弃受影响的记录或无法为其编制索引。能够影响已记录数据的攻击者可利用此漏洞抑制各个日志记录、削弱审计追踪和恶意活动检测。建议用户升级到 Apache Log4cxx 1.7.0其中修复了此问题。
    (CVE-2026-40023)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:20705-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    log4xxx での変更:

    - 1.7.0 への更新(bsc#1261994、 CVE-2026-40023):
      * ASCII 以外の文字が JSON 出力で不適切にエンコードされています [#615]
      * XML 出力に、XML 1.0 仕様で許可されていない文字が含まれる可能性があります
      * 再帰参照を伴う XML 構成ファイルがプログラムの終了を引き起こしました [#605]
      * 構成変更中に起こり得る未定義の動作
      * ログに記録された値の計算がログも記録する場合のメッセージ損失
      * ODBCAppender で準備されたステートメント値のバッファに、不正確な有効期間がありました [#581]

    - 1.6.0 への更新:
      * 構成 ${varname} の値は、構成ファイルをロードする前にプログラムによって設定できます(com/foo/config4.cpp を参照)[#520]
      * 現在の実行可能ファイルのファイル名とそのコンポーネントは、構成ファイルおよび LOG4CXX_CONFIGURATION 環境変数で使用できます(log4cxx::spi::Configurator::p roperties を参照)。
        [#520]
      * コンソール出力(Log4cxx 内部ロギングおよび BasicConfigurator)は、デフォルトでメッセージレベルごとに色を使用します [#529]
      * AsyncAppender のバックグラウンドスレッドで使用されるまでバイナリからテキストへの変換を延期する新しいロギングマクロ
      * 構成ファイルを使用して AsyncAppender をロガーに添付する簡略化された方法 [#550]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.7.0より前のバージョンの Apache Log4cxx の XMLLayout https://logging.apache.org/log4cxx/1.7.0/classlog4cxx_1_1xml_1_1XMLLayout.htmlでは、ログメッセージ、NDC、および MDC プロパティキーと値の中の XML 1.0 仕様 https://www.w3.org/TR/xml/#charsets によって禁じられた文字をサニタイズできず、無効な XML 出力が生成されます。適合する XML パーサーは、このような致命的なエラーのあるドキュメントを拒否する必要があります。これにより、下流のログ処理システムが影響を受けるレコードのインデックス作成が可能になったり、失敗したりする可能性があります。ログに記録されたデータに影響を与える可能性のある攻撃者がこれを悪用して、個別のログレコードを抑制して、監査証跡を壊し、悪意のあるアクティビティを検出する可能性があります。ユーザーは、この問題を修正する Apache Log4cxx 1.7.0にアップグレードすることが推奨されます。
    (CVE-2026-40023)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2026:20705-1 advisory.

    Changes in log4cxx:

    - update to 1.7.0 (bsc#1261994, CVE-2026-40023):
      * Non-ascii characters incorrectly encoded in JSON output [#615]
      * XML output could contain characters not allowed by the XML 1.0         specification
      * An XML configuration file with recursive references caused         program termination [#605]
      * Possible undefined behavior during a configuration change
      * Message loss when the calculation of a logged value also logs
      * ODBCAppender prepared statement value buffers had incorrect         lifetimes [#581]

    - update to 1.6.0:
      * Configuration ${varname} values can be set programatically prior         to loading a configuration file (see com/foo/config4.cpp) [#520]
      * The current executable's file name and its components are available         for use in a configuration file and the LOG4CXX_CONFIGURATION         environment variable (see log4cxx::spi::Configurator::properties).
        [#520]
      * Console output (Log4cxx internal logging and BasicConfigurator)         use a color per message level by default [#529]
      * New logging macros that defer binary-to-text conversion until         used in AsyncAppender's background thread
      * A simplified way to attach an AsyncAppender to a logger using         a configuration file [#550]

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Apache Log4cxx's XMLLayout https://logging.apache.org/log4cxx/1.7.0/classlog4cxx_1_1xml_1_1XMLLayout.html     , in versions before 1.7.0, fails to sanitize characters forbidden by the XML 1.0 specification     https://www.w3.org/TR/xml/#charsets in log messages, NDC, and MDC property keys and values, producing     invalid XML output. Conforming XML parsers must reject such documents with a fatal error, which may cause     downstream log processing systems to drop or fail to index affected records. An attacker who can influence     logged data can exploit this to suppress individual log records, impairing audit trails and detection of     malicious activity. Users are advised to upgrade to Apache Log4cxx 1.7.0, which fixes this issue.
    (CVE-2026-40023)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
306018	Linux Distros 未修補的弱點：CVE-2026-40023	Nessus	Misc.	2026/4/11	2026/5/6	medium
306018	Linux Distros 未修补的漏洞：CVE-2026-40023	Nessus	Misc.	2026/4/11	2026/5/6	medium
313699	openSUSE 16 セキュリティ更新:log4cxx(openSUSE-SU-2026:20705-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
306018	Linux Distros のパッチ未適用の脆弱性: CVE-2026-40023	Nessus	Misc.	2026/4/11	2026/5/6	medium
313699	openSUSE 16 Security Update : log4cxx (openSUSE-SU-2026:20705-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
306018	Linux Distros Unpatched Vulnerability : CVE-2026-40023	Nessus	Misc.	2026/4/11	2026/5/6	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium