The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - SQL injection in Log4cxx when using the ODBC appender to send log messages to a database. No fields sent     to the database were properly escaped for SQL injection. This has been the case since at least version     0.9.0(released 2003-08-06) Note that Log4cxx is a C++ framework, so only C++ applications are affected.
    Before version 1.1.0, the ODBC appender was automatically part of Log4cxx if the library was found when     compiling the library. As of version 1.1.0, this must be both explicitly enabled in order to be compiled     in. Three preconditions must be met for this vulnerability to be possible: 1. Log4cxx compiled with ODBC     support(before version 1.1.0, this was auto-detected at compile time) 2. ODBCAppender enabled for logging     messages to, generally done via a config file 3. User input is logged at some point. If your application     does not have user input, it is unlikely to be affected. Users are recommended to upgrade to version 1.1.0     which properly binds the parameters to the SQL statement, or migrate to the new DBAppender class which     supports an ODBC connection in addition to other databases. Note that this fix does require a     configuration file update, as the old configuration files will not configure properly. An example is shown     below, and more information may be found in the Log4cxx documentation on the ODBCAppender. Example of old     configuration snippet: <appender name=SqlODBCAppender class=ODBCAppender> <param name=sql     value=INSERT INTO logs (message) VALUES ('%m') /> ... other params here ... </appender> The migrated     configuration snippet with new ColumnMapping parameters: <appender name=SqlODBCAppender     class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES (?) /> <param     name=ColumnMapping value=message/> ... other params here ... </appender> (CVE-2023-31038)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ODBC アペンダーを使用してログメッセージをデータベースに送信する際の Log4cxx の SQL インジェクション。データベースに送信されたフィールドが SQL インジェクションのために適切にエスケープされていませんでした。これは、少なくともバージョン 0.9.0（2003 年 8 月 6 日リリース）以降に当てはまります。Log4cxx は C++ フレームワークであるため、C++ アプリケーションのみが影響を受けます。
    バージョン 1.1.0より前では、ライブラリのコンパイル時にライブラリが見つかった場合、ODBC アペンダーは自動的に Log4cxx の一部でした。バージョン 1.1.0以降、これをコンパイルするには、両方を明示的に有効にする必要があります。この脆弱性が発生するには、3つの前提条件が満たされている必要があります。1. Log4cxx が ODBC サポートでコンパイルされた（バージョン 1.1.0より前、これはコンパイル時に自動検出されました） 2. ODBCAppender が へのメッセージのロギングを有効にします。これは通常、構成ファイルを介して行われます。 。ユーザー入力はある時点で記録されます。アプリケーションにユーザー入力がない場合、影響を受ける可能性は低いです。ユーザーは、パラメーターを SQL ステートメントに適切にバインドするバージョン 1.1.0 にアップグレードするか、他のデータベースに加えて ODBC 接続をサポートする新しい DBAppender クラスに移行することが推奨されます。注意：古い構成ファイルは適切に構成されないため、この修正には構成ファイルの更新が必要です。以下に例を示します。詳細については、ODBCAppender の Log4cxx のドキュメントを参照してください。古い構成スニペットの例<appender name=SqlODBCAppender class=ODBCAppender><param name=sql value=INSERT INTO logs (message) VALUES ('%m') />...その他のパラメーターはここにあります ...</appender> 新しい ColumnMapping パラメーターを含む移行された構成スニペット：<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES (?) /> <param name=ColumnMapping value=message/>...その他のパラメーターはここにあります ... </appender> （CVE-2023-31038）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 使用 ODBC appender 将日志消息发送到数据库时 Log4cxx 中的 SQL 注入。发送到数据库的任何字段均未为 SQL 注入正确转义。至少自版本 0.9.0（2003 年 8 月 6 日发布）起一直存在这种情况。请注意，Log4cxx 是 C++ 框架，因此只有 C++ 应用程序受到影响。
    在版本 1.1.0之前，如果在编译库时找到该库，ODBC appender 自动成为 Log4cxx 的一部分。自版本 1.1.0起，其必须同时明确启用才能在中进行编译。必须满足三个先决条件，此漏洞才会成为可能： 1. Log4cxx 以 ODBC 支持编译（在版本 1.1.0之前，会在编译时自动检测） 2. 启用 ODBCAppender 以便记录消息到 ，通常通过配置文件完成 3 . 有时会记录用户输入。如果您的应用程序没有用户输入，就不可能受到影响。建议用户升级到版本 1.1.0 ，您可以将参数正确绑定到 SQL 语句，或迁移至除支持其他数据库外，还支持 ODBC 连接的新 DBAppender 类。请注意，此修复需要配置文件更新，因为旧配置文件将无法正确配置。下方显示了一个示例，更多信息请参阅关于 ODBCAppender 的 Log4cxx 文档。旧配置片段示例：<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES ('%m') />... 此处的其他参数 ...</appender> 迁移后的配置片段包含新的 ColumnMapping 参数：<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES (?) /> <param name=ColumnMapping value=message/>...此处的其他参数 ... </appender> (CVE-2023-31038)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 使用 ODBC appender 將記錄訊息傳送至資料庫時，Log4cxx 中發生 SQL 插入。未針對 SQL 插入正確逸出傳送至資料庫的欄位。至少從 版 0.9.0(2003-08-06 發布) 開始就是如此。請注意，Log4cxx 是 C++ 架構，因此只有 C++ 應用程式會受到影響。
    在 1.1.0版之前，如果在編譯程式庫時發現該程式庫，ODBC 附加程式會自動成為 Log4cxx 的一部分。自 1.1.0版起，必須同時明確啟用此功能，才能在其中進行編譯。必須符合三個先決條件，此弱點才有可能發生：1. 使用 ODBC 支援編譯的 Log4cxx (在 1.1.0版之前，會在編譯時自動偵測此問題) 2. 已啟用 ODBCAppender 來記錄訊息，通常是透過設定檔 3 完成。系統會在某個時間點記錄使用者輸入。如果您的應用程式沒有使用者輸入，則不太可能受到影響。建議使用者升級至 1.1.0 版，其可將參數正確係結至 SQL 陳述式，或移轉至除其他資料庫外還支援 ODBC 連線的新 DBAppender 類別。請注意，此修正需要設定檔更新，因為舊版設定檔將無法正確設定。範例如下所示，詳細資訊可在 ODBCAppender 上的 Log4cxx 文件中找到。舊組態程式碼範例：<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES ('%m') />... 此處為其他參數 ...</appender> 已移轉的組態片段具有新的 ColumnMapping 參數：<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES (?) /> <param name=ColumnMapping value=message/>... 此處為其他參數... </appender> (CVE-2023-31038)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
226714	Linux Distros Unpatched Vulnerability : CVE-2023-31038	Nessus	Misc.	2025/3/5	2025/3/5	high
226714	Linux Distros のパッチ未適用の脆弱性: CVE-2023-31038	Nessus	Misc.	2025/3/5	2025/3/5	high
226714	Linux Distros 未修补的漏洞: CVE-2023-31038	Nessus	Misc.	2025/3/5	2025/3/5	high
226714	Linux Distros 未修補弱點：CVE-2023-31038	Nessus	Misc.	2025/3/5	2025/3/5	high

检测

插件搜索

high

high

high

high