CVE-2025-11226
Açıklama
Java uygulamalarındaki QOS.CH logback-core bileşeninin 1.5.18 sürümü dahil önceki sürümlerinde, koşullu yapılandırma dosyası işleme sürecindeki bir ACE zafiyeti; mevcut bir logback yapılandırma dosyasını manipüle ederek veya program yürütülmeden önce bir ortam değişkeni enjekte ederek saldırganın keyfi kod çalıştırmasına olanak tanır. Başarılı bir saldırı için kullanıcının sınıf yolunda (class path) Janino kütüphanesinin ve Spring Framework'ün bulunması gerekir. Ek olarak, saldırganın bir yapılandırma dosyasına yazma erişimi olmalıdır. Alternatif olarak saldırgan, kötü amaçlı bir yapılandırma dosyasına işaret eden kötü amaçlı bir ortam değişkeni enjekte edebilir. Her iki durumda da saldırı, mevcut yetkiler gerektirir.
Nasıl düzeltilir
- ch.qos.logback:logback-core1.5.19, 1.3.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ch.qos.logback:logback-coreMaven | 1.4.0 ≤ v < 1.5.19, v < 1.3.16 | 1.5.19, 1.3.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.