BDU:2020-01666

Опубликовано: 13 мар. 2017

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость класса logback-core в файле QOS.ch библиотеки Jackson-databind связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Red Hat Inc.

Наименование ПО

logback

Red Hat Fuse

Версия ПО

до 1.1.10 включительно (logback)

7.0.0 (Red Hat Fuse)

7.0.1 (Red Hat Fuse)

7.1.0 (Red Hat Fuse)

7.1.1 (Red Hat Fuse)

7.2.0 (Red Hat Fuse)

7.3.0 (Red Hat Fuse)

7.3.1 (Red Hat Fuse)

7.4.0 (Red Hat Fuse)

7.5.0 (Red Hat Fuse)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя Logback:

https://logback.qos.ch/news.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/errata/RHSA-2017:1675

https://access.redhat.com/errata/RHSA-2017:1676

https://access.redhat.com/errata/RHSA-2017:1832

https://access.redhat.com/errata/RHSA-2018:2927

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5929
CVE

EPSS

Процентиль: 94%

0.07501

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2017-5929

CVSS3: 9.8

ubuntu

больше 9 лет назад

QOS.ch Logback before 1.2.0 has a serialization vulnerability affecting the SocketServer and ServerSocketReceiver components.

CVE-2017-5929

CVSS3: 5.5

redhat

больше 9 лет назад

QOS.ch Logback before 1.2.0 has a serialization vulnerability affecting the SocketServer and ServerSocketReceiver components.

CVE-2017-5929

CVSS3: 9.8

nvd

больше 9 лет назад

QOS.ch Logback before 1.2.0 has a serialization vulnerability affecting the SocketServer and ServerSocketReceiver components.

CVE-2017-5929

CVSS3: 9.8

debian

больше 9 лет назад

QOS.ch Logback before 1.2.0 has a serialization vulnerability affectin ...

GHSA-vmfg-rjjm-rjrj

CVSS3: 9.8

github

около 5 лет назад

QOS.ch Logback vulnerable to Deserialization of Untrusted Data

EPSS

Процентиль: 94%

0.07501

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2