远程 Debian 9 主机上安装的程序包受到 dla-2842 公告中提及的一个漏洞影响。

  - 在 2.14.1 及之前版本的 Apache Log4j2 中，配置、日志消息和参数所使用的 JNDI 功能无法防范由攻击者控制的 LDAP 和其他与 JNDI 相关的端点。若启用消息查找替换，拥有日志消息或日志消息参数控制权限的攻击者可执行从 LDAP 服务器加载的任意代码。自 log4j 2.15.0 版本开始，此行为已默认禁用。在高于 2.10 的先前版本中，可通过将系统属性 log4j2.formatMsgNoLookups 设置为 true 来缓解此行为；在低于 2.10 的之前版本中，可通过从类路径（例如：zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class）中删除 JndiLookup 类来缓解此行为。
    (CVE-2021-44228)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Debian DLA-2842-1：apache-log4j2 - LTS 安全更新

critical Nessus 插件 ID 156018

版本 1.10