CVE-2024-12798
Təsvir
QOS.CH logback-core-un JaninoEventEvaluator komponentində ACE zəifliyi. Java tətbiqlərində 0.1-dən 1.3.14-ə qədər (daxil olmaqla) və 1.4.0-dan 1.5.12-yə qədər versiyalar təsirlənir. Zəiflik hücumçuya mövcud logback konfiqurasiya faylını kompromisə etməklə və ya proqramın icrasından əvvəl mühit dəyişənini inyeksiya etməklə ixtiyari kod icra etməyə imkan verir. Zərərli logback konfiqurasiya faylları hücumçuya JaninoEventEvaluator genişləndirməsindən istifadə edərək ixtiyari kod icra etməyə imkan verə bilər. Uğurlu hücum üçün istifadəçinin konfiqurasiya faylına yazma icazəsinə malik olması tələb olunur. Alternativ olaraq, hücumçu zərərli konfiqurasiya faylına işarə edən zərərli mühit dəyişəni inyeksiya edə bilər. Hər iki halda hücum mövcud imtiyazların olmasını tələb edir.
Necə düzəltmək olar
- ch.qos.logback:logback-core1.5.13, 1.3.15 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ch.qos.logback:logback-coreMaven | 1.4.0 ≤ v < 1.5.13, v < 1.3.15 | 1.5.13, 1.3.15 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.