BDU:2022-00725 (CVE-2021-42550)

Уязвимость библиотеки логирования logback, связанная с недостатками механизма десериализации, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2022-02-10

Описание

Уязвимость библиотеки логирования logback связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Jboss Fuse (7)Debian GNU/Linux (10)Red Hat Descision Manager (7)Jboss Fuse (6)Red Hat Process Automation (7)Red Hat Integration Camel KDebian GNU/Linux (11)logback (до 1.3.0-alpha11)logback (до 1.2.9)

Способ устранения

Использование рекомендаций:
https://jira.qos.ch/browse/LOGBACK-1591
http://logback.qos.ch/news.html
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-42550

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2021-42550

Оценка CVSS

Балл	8.5 — высокая опасность

Источники и патчи

https://github.com/cn-panda/logbackRceDemo https://jira.qos.ch/browse/LOGBACK-1591 http://logback.qos.ch/news.html https://security.netapp.com/advisory/ntap-20211229-0001/https://access.redhat.com/security/cve/CVE-2021-42550

Проверьте безопасность своего сайта и почты → Полная проверка домена