QOS.ch Logback 至 1.1.x SocketServer/ServerSocketReceiver 反序列化漏洞

CVE编号

CVE-2017-5929

利用情况

暂无

补丁情况

官方补丁

披露时间

2017-03-13

漏洞描述

QOS.ch Logback是一套使用Java编写的日志框架。SocketServer和ServerSocketReceiver都是其中的调试模块。
QOS.ch Logback 1.1.10之前版本中的SocketServer和ServerSocketReceiver组件存在安全漏洞。攻击者可利用该漏洞获取提升的权限。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://logback.qos.ch/news.html

参考链接
https://access.redhat.com/errata/RHSA-2017:1675
https://access.redhat.com/errata/RHSA-2017:1676
https://access.redhat.com/errata/RHSA-2017:1832
https://access.redhat.com/errata/RHSA-2018:2927
https://lists.apache.org/thread.html/18d509024d9aeb07f0e9579066f80bf5d4dcf204...
https://lists.apache.org/thread.html/a6db61616180d73711d6db25703085940026e2db...
https://lists.apache.org/thread.html/fa4eaaa6ff41ac6f79811e053c152ee89b7c5da8...
https://lists.apache.org/thread.html/r0bb19330e48d5ad784fa20dacba9e5538d8d60f...
https://lists.apache.org/thread.html/r2a08573ddee4a86dc96d469485a5843a01710ee...
https://lists.apache.org/thread.html/r2c2d57ca180e8173c90fe313ddf8eabbdcf8e3a...
https://lists.apache.org/thread.html/r397bf63783240fbb5713389d3f889d287ae0c11...
https://lists.apache.org/thread.html/r4673642893562c58cbee60c151ded6c077e8a2d...
https://lists.apache.org/thread.html/r632ec30791b441e2eb5a3129532bf1b689bf181...
https://lists.apache.org/thread.html/r718f27bed898008a8e037d9cc848cfc1df4d18a...
https://lists.apache.org/thread.html/r967953a14e05016bc4bcae9ef3dd92e77018115...
https://lists.apache.org/thread.html/ra007cec726a3927c918ec94c4316d05d1829c49...
https://lists.apache.org/thread.html/rbb4dfca2f7e3e8f3570eec21c79832d33a51dfd...
https://lists.apache.org/thread.html/rc5f0cc2f3b153bdf15ee7389d78585829abc9c7...
https://lists.apache.org/thread.html/rd2227af3c9ada2a72dc72ed05517f5857a34d48...
https://lists.apache.org/thread.html/re9b787727291786dfe088e3cd078c7d195c0b57...
https://logback.qos.ch/news.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	logback	logback	*		Up to (including) 1.1.10
	运行在以下环境
	系统	debian_7	logback	*		Up to (excluding) 1:1.0.4-1+deb7u1
	运行在以下环境
	系统	debian_8	logback	*		Up to (excluding) 1:1.1.2-1+deb8u1

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-502 可信数据的反序列化