Java用の柔軟なロギングライブラリであるlogbackが、信頼できないソケットのデータを逆シリアル化し、これによって任意のコードの実行が引き起こされる可能性があることが判明しました。信頼できるクラスのみを使用するようにホワイトリストを追加することで、この問題は解決されました。

Debian 7「Wheezy」では、これらの問題はバージョン1:1.0.4-1+deb7u1で修正されました。

logbackパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-888-1: logbackセキュリティ更新

critical Nessus プラグイン ID 99252

変更ログが見つかりません