vlambda博客
学习文章列表

前阵子 接连爆出漏洞就已经把大家折腾得不轻了，但是昨晚看到群友在聊 Logback 又爆漏洞了。

当时我就震惊了，这是什么情况？难道又是远程代码调用这种重量级 bug 吗？难道又要连夜修复了么？

于是，第一时间到 Logback 官网去查看了一下，果然！

安全漏洞：CVE-2021-42550

漏洞详细：攻击者通过更改 logback 配置文件添加恶意配置，从而可以执行 LDAP 服务器上加载的任意代码。

安全等级：中级

影响版本：1.2.9 以下版本

执行漏洞需要完全满足以下条件：

• 具有编写 logback.xml 的权限

• Logback 版本低于 1.2.9

• 执行恶意代码的前提：重启应用或者是在攻击之前将 scan 设为 "true"(scan="true")

防护方案

临时解决方案：

将 Logback 配置文件设置为只读。

正式解决方案：

将 Logback 升级至 1.2.9 版本。

<properties>  <logback.version>1.2.9</logback.version></properties>

总结

如果你是 Spring Boot 的用户，那么我建议赶紧升级防护一下。因为除了Spring Boot 新发布的 2.6.2、2.5.8版本使用了1.2.9之外，之前的版本都在受影响范围之内。

这个漏洞其实已经公布好几天了，幸运的是漏洞执行条件比较高，给大家带来的影响不大，大家不用慌哈！

相关链接

Logback News：https://logback.qos.ch/news.html

CVE.report：https://cve.report/CVE-2021-42550

GitHub：https://github.com/spring-projects/spring-boot/issues/29012

  
    
    
  

   
     
     
   
 
   
   
     
     
   
 
    
 
   
   
     
     
   


   
     
     
   
      
        
        
      

       
         
         
       
 
        
 
         
 
          
1. 
 
          
2. 
 
          
3. 
 
          
4. 
 
          
5.