根据其自我报告的版本号，远程主机上安装的 Apache Log4j 1.x 版本不再受支持。Log4j 在 2016 年之前已终止生命周期。此外，Log4j 1.x 会受到多个漏洞影响，包括：

  - Log4j 中有一个 SocketServer，其会接受序列化日志事件，并在未验证对象是否受到允许的情况下将其反序列化。这就为攻击者提供了一个可以遭到恶意利用的攻击载体。(CVE-2019-17571)

  - 未正确验证 Apache Log4j SMTP 附加程序中与主机不匹配的证书。这可允许中间人发动拦截 SMTPS 连接攻击，进而泄露通过该附加程序发送的任何日志消息。(CVE-2020-9488)

  - JMSSink 以不受保护的方式使用 JNDI，这样一来，如果将使用 JMSSink 的任何应用程序配置为引用不受信任的站点或者如果攻击者能够访问所引用的站点，则该应用程序将很容易受到攻击。
    (CVE-2022-23302)

缺少支持意味着供应商将不再发布该产品的任何新安全修补程序。因此，它可能包含某些安全漏洞。

检测

Apache Log4j 1.x 多个漏洞

critical Nessus 插件 ID 156860

版本 1.9