低危 QOS.ch Logback 至 1.1.x SocketServer/ServerSocketReceiver 反序列化漏洞

CVE编号

CVE-2017-5929

利用情况

暂无

补丁情况

官方补丁

披露时间

2017-03-13
漏洞描述
QOS.ch Logback是一套使用Java编写的日志框架。SocketServer和ServerSocketReceiver都是其中的调试模块。

QOS.ch Logback 1.1.10之前版本中的SocketServer和ServerSocketReceiver组件存在安全漏洞。攻击者可利用该漏洞获取提升的权限。
解决建议
厂商已发布了漏洞修复程序,请及时关注更新:
https://logback.qos.ch/news.html
参考链接
https://access.redhat.com/errata/RHSA-2017:1675
https://access.redhat.com/errata/RHSA-2017:1676
https://access.redhat.com/errata/RHSA-2017:1832
https://access.redhat.com/errata/RHSA-2018:2927
https://lists.apache.org/thread.html/18d509024d9aeb07f0e9579066f80bf5d4dcf204...
https://lists.apache.org/thread.html/a6db61616180d73711d6db25703085940026e2db...
https://lists.apache.org/thread.html/fa4eaaa6ff41ac6f79811e053c152ee89b7c5da8...
https://lists.apache.org/thread.html/r0bb19330e48d5ad784fa20dacba9e5538d8d60f...
https://lists.apache.org/thread.html/r2a08573ddee4a86dc96d469485a5843a01710ee...
https://lists.apache.org/thread.html/r2c2d57ca180e8173c90fe313ddf8eabbdcf8e3a...
https://lists.apache.org/thread.html/r397bf63783240fbb5713389d3f889d287ae0c11...
https://lists.apache.org/thread.html/r4673642893562c58cbee60c151ded6c077e8a2d...
https://lists.apache.org/thread.html/r632ec30791b441e2eb5a3129532bf1b689bf181...
https://lists.apache.org/thread.html/r718f27bed898008a8e037d9cc848cfc1df4d18a...
https://lists.apache.org/thread.html/r967953a14e05016bc4bcae9ef3dd92e77018115...
https://lists.apache.org/thread.html/ra007cec726a3927c918ec94c4316d05d1829c49...
https://lists.apache.org/thread.html/rbb4dfca2f7e3e8f3570eec21c79832d33a51dfd...
https://lists.apache.org/thread.html/rc5f0cc2f3b153bdf15ee7389d78585829abc9c7...
https://lists.apache.org/thread.html/rd2227af3c9ada2a72dc72ed05517f5857a34d48...
https://lists.apache.org/thread.html/re9b787727291786dfe088e3cd078c7d195c0b57...
https://logback.qos.ch/news.html
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 logback logback * Up to
(including)
1.1.10
运行在以下环境
系统 debian DPKG * Up to
(excluding)
1:1.1.9-3
运行在以下环境
系统 debian_10 logback * Up to
(excluding)
1:1.1.9-3
运行在以下环境
系统 debian_11 logback * Up to
(excluding)
1:1.1.9-3
运行在以下环境
系统 debian_12 logback * Up to
(excluding)
1:1.1.9-3
运行在以下环境
系统 debian_7 logback * Up to
(excluding)
1:1.0.4-1+deb7u1
运行在以下环境
系统 debian_8 logback * Up to
(excluding)
1:1.1.2-1+deb8u1
运行在以下环境
系统 ubuntu_18.04.5_lts logback * Up to
(excluding)
1:1.2.3-2ubuntu1~18.04.1
阿里云评分
3.1
  • 攻击路径
    远程
  • 攻击复杂度
    复杂
  • 权限要求
    无需权限
  • 影响范围
    有限影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    无影响
  • 数据完整性
    无影响
  • 服务器危害
    无影响
  • 全网数量
    100
CWE-ID 漏洞类型
CWE-502 可信数据的反序列化
阿里云安全产品覆盖情况