Logback 也爆雷了,惊爆了。。。

Java技术栈

共 2013字,需浏览 5分钟

 ·

2021-12-28 15:16

点击关注公众号,Java干货及时送达

Apache Log4j2 漏洞最新进展及解决方案:Log4j 2.3.1 发布!又是什么鬼??

Logback 也爆雷了

Log4j2 核弹级漏洞刚结束没几天,Logback 其实也爆雷了,这你能信??

栈长在上篇文章提到,因 Log4j2 漏洞的反复无常,导致某些公司已经切换到 Logback 了,如果这也是你们公司的决定,请在文章下面评论区留言。

可令栈长万万想不到的是,在 Log4j2 漏洞修复期间,Logback 也出事了,我们来看官方的通告:

漏洞摘要

CVE-2021-42550远程代码执行漏洞
安全等级
影响版本logback < 1.2.9
logback < 1.3.0-alpha11

该漏洞影响了两条版本线:

  • Logback 1.2.x
  • Logback 1.3.x

当然,生产主要还是以 1.2.x 为主,1.3.x 尚未正式发布,Alpha 表示早期的内部测试版本。

如果你想关注和学习最新、最主流的 Java 技术,可以持续关注公众号Java技术栈,公众号第一时间推送。

漏洞描述

在 Logback 1.2.7 及之前的版本中,具有编辑配置文件权限的攻击者可以制作恶意配置,允许从 LDAP 服务器加载、执行任意代码。

漏洞具体详情可参考:

  • https://cve.report/CVE-2021-42550
  • https://logback.qos.ch/news.html

解决方案

Logback 升级到安全版本:

  • Logback 1.2.9+
  • Logback 1.3.0-alpha11+

修复内容:

1)强化 Logback 的 JNDI 查找机制,只接受 java: 命名空间中的请求,所有其他类型的请求都将被忽略。

2)SMTPAppender 也被加强了。

3)出于安全原因,暂时删除了数据库支持。

4)因 Groovy 配置过于强大,出于安全原因,删除了对 Groovy 的配置支持,后面也不太可能恢复。

看来,JNDI 又闯祸了。。。

JDNI 这到底是什么破玩意,有时间栈长再分享一篇,关注公众号Java技术栈第一时间推送哦。


上篇文章《终于!Spring Boot 最新版发布,一招解决 Log4j2 核弹级漏洞!》,Spring Boot 在最新版本中已经升级到了安全版本:Logback 1.2.9

不过在 Logback v1.2.9 中还存在 bug:

目前最新版本:

  • Logback 1.2.10
  • Logback 1.3.0-alpha12

建议直接升级到最新版本,所以,没有必要升级 Spring Boot 主版本,最好的解决方案是只升级 Logback 版本即可。

Spring Boot 基础就不介绍了,推荐下这个实战教程(含示例源码):

https://github.com/javastacks/spring-boot-best-practice

Spring Boot & Maven:


    ...
    1.2.10

更新之后的 Logback 版本:

另外,官方还建议把 logback 日志配置文件设置为只读,这样就能彻底堵死配置文件被篡改所引发的漏洞。

在 12/14 ~ 12/23 这段时间,官方针对两个版本线都进行了多次版本更新,以解决此漏洞,也是折腾啊。。

Logback 这个漏洞属于中危级别,也少有报道,但该漏洞属于远程代码执行,危害的后果也挺严重的,建议大家还是升级吧,防患未然!

话说你们用的什么版本呢?赶紧检查升级吧!

刚从 Log4j2 切换过来的小伙伴恐怕要哭笑不得了吧?如果说的就是你,请在下面评论区留言……

Log4j2 & Logback 漏洞的后续进展,栈长也会持续跟进,关注公众号Java技术栈,公众号第一时间推送。

版权声明!!!

本文系公众号 "Java技术栈" 原创,转载、引用本文内容请注明出处,抄袭、洗稿一律投诉侵权,后果自负,并保留追究其法律责任的权利。


23 种设计模式实战(很全)
重磅官宣:Redis 对象映射框架来了!!
劲爆!Java 协程要来了。。。
JetBrains 发布下一代 IDE,IDEA 可以扔了
重磅!JDK 17 发布,正式免费。。
面试官:Java 8 map 和 flatMap 的区别?
终于!Spring Cloud 2021 正式发布。。
推荐一款代码神器,代码量至少省一半!
程序员精通各种技术体系,45岁求职难!
重磅!Spring Boot 2.6 正式发布
Spring Boot 学习笔记,这个太全了!



关注Java技术栈看更多干货



获取 Spring Boot 实战笔记!
浏览 12
点赞
评论
收藏
分享

手机扫一扫分享

分享
举报
评论
图片
表情
推荐
点赞
评论
收藏
分享

手机扫一扫分享

分享
举报