Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-00177

Опубликовано: 19 дек. 2024
Источник: fstec
CVSS3: 7.3
CVSS2: 5.7
EPSS Низкий

Описание

Уязвимость модуля logback-core системы мониторинга QOS (Quality of Service) связана с непринятием мер по нейтрализации специальных элементов, используемых в операторе языка выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем использования расширения JaninoEventEvaluator

Вендор

Red Hat Inc.
Сообщество свободного программного обеспечения

Наименование ПО

Red Hat Single Sign-On
Red Hat JBoss Data Grid
Red Hat AMQ Broker
Red Hat Process Automation
Red Hat Integration Camel K
Debian GNU/Linux
Red Hat Data Grid
Red Hat JBoss Enterprise Application Platform
Red Hat build of OptaPlanner
Logging subsystem for Red Hat OpenShift
Red Hat Build of Keycloak
Red Hat JBoss Web Server
Red Hat Fuse
Red Hat build of Apache Camel for Spring Boot
logback-core

Версия ПО

7 (Red Hat Single Sign-On)
7 (Red Hat JBoss Data Grid)
7 (Red Hat AMQ Broker)
7 (Red Hat Process Automation)
- (Red Hat Integration Camel K)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
8 (Red Hat Data Grid)
7 (Red Hat JBoss Enterprise Application Platform)
8 (Red Hat build of OptaPlanner)
- (Logging subsystem for Red Hat OpenShift)
- (Red Hat Build of Keycloak)
6 (Red Hat JBoss Web Server)
7 (Red Hat Fuse)
4 (Red Hat build of Apache Camel for Spring Boot)
до 1.5.3 (logback-core)

Тип ПО

Сетевое программное средство
Сетевое средство
Прикладное ПО информационных систем
Операционная система

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,7)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)
Средний уровень опасности (базовая оценка CVSS 4.0 составляет 5,9)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций:
Для модуля logback-core системы мониторинга QOS (Quality of Service):
https://logback.qos.ch/news.html#1.5.13
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2024-12798
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-12798

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 25%
0.00089
Низкий

7.3 High

CVSS3

5.7 Medium

CVSS2

Связанные уязвимости

ubuntu
около 1 года назад

ACE vulnerability in JaninoEventEvaluator by QOS.CH logback-core upto including version 0.1 to 1.3.14 and 1.4.0 to 1.5.12 in Java applications allows attacker to execute arbitrary code by compromising an existing logback configuration file or by injecting an environment variable before program execution. Malicious logback configuration files can allow the attacker to execute arbitrary code using the JaninoEventEvaluator extension. A successful attack requires the user to have write access to a configuration file. Alternatively, the attacker could inject a malicious environment variable pointing to a malicious configuration file. In both cases, the attack requires existing privilege.

CVSS3: 5.5
redhat
около 1 года назад

ACE vulnerability in JaninoEventEvaluator by QOS.CH logback-core upto including version 0.1 to 1.3.14 and 1.4.0 to 1.5.12 in Java applications allows attacker to execute arbitrary code by compromising an existing logback configuration file or by injecting an environment variable before program execution. Malicious logback configuration files can allow the attacker to execute arbitrary code using the JaninoEventEvaluator extension. A successful attack requires the user to have write access to a configuration file. Alternatively, the attacker could inject a malicious environment variable pointing to a malicious configuration file. In both cases, the attack requires existing privilege.

nvd
около 1 года назад

ACE vulnerability in JaninoEventEvaluator by QOS.CH logback-core upto including version 0.1 to 1.3.14 and 1.4.0 to 1.5.12 in Java applications allows attacker to execute arbitrary code by compromising an existing logback configuration file or by injecting an environment variable before program execution. Malicious logback configuration files can allow the attacker to execute arbitrary code using the JaninoEventEvaluator extension. A successful attack requires the user to have write access to a configuration file. Alternatively, the attacker could inject a malicious environment variable pointing to a malicious configuration file. In both cases, the attack requires existing privilege.

debian
около 1 года назад

ACE vulnerability in JaninoEventEvaluator by QOS.CH logback-core ...

github
около 1 года назад

QOS.CH logback-core Expression Language Injection vulnerability

EPSS

Процентиль: 25%
0.00089
Низкий

7.3 High

CVSS3

5.7 Medium

CVSS2