🇰🇷 한글 설명
logback-core의 HardenedObjectInputStream에서 신뢰할 수 없는 데이터 역직렬화 취약점이 발견되었습니다. 공격자는 SimpleSocketServer 또는 SimpleSSLSocketServer로 전송되는 직렬화 데이터를 조작하여 java.lang 및 java.util 패키지의 차단되지 않은 클래스를 인스턴스화할 수 있으며, 이는 의도된 보안 제한을 우회하는 문제입니다. 현재 원격 코드 실행이나 권한 상승은 확인되지 않았습니다. 영향 버전은 1.5.32 이하입니다.
💡 쉬운 설명
로그 라이브러리(logback)의 보안 필터가 일부 우회될 수 있는 결함입니다. 현재까지 이 결함으로 시스템을 완전히 장악하는 방법은 확인되지 않았지만, 보안 제한을 피할 수 있다는 점에서 문제가 됩니다.
🇺🇸 원문 (English)
Deserialization of untrusted data vulnerability in QOS.CH Sarl logback logback-core (HardenedObjectInputStream (logback-core) modules) allows Object Injection albeit heavily restricted.
More precisely, an attacker able to influence serialized data sent to
SimpleSocketServer or SimpleSSLSocketServer can instantiate objects from
classes in the java.lang and java.util packages that are not explicitly
blocked.
Although deserialization is heavily restricted by HardenedObjectInputStream and no
practical way to achieve remote code execution or significant privilege
escalation has been identified, this issue constitutes a bypass of the
intended security restrictions.
This issue affects logback: through 1.5.32 inclusive.
📍 영향받는 시스템
logback-core 1.5.32 이하 버전을 사용하는 Java 애플리케이션 (SimpleSocketServer/SimpleSSLSocketServer 사용 시)
⚔️ 공격 벡터
SimpleSocketServer 또는 SimpleSSLSocketServer로 조작된 직렬화 데이터를 전송하여 제한되지 않은 java.lang/java.util 클래스를 인스턴스화
🛡️ 대응 방법
logback-core를 1.5.33 이상 버전으로 업그레이드하고, 가능하면 SimpleSocketServer/SimpleSSLSocketServer 사용을 중단하거나 네트워크 접근을 제한
🔧 검증 코드
출력된 jar 파일명의 버전이 1.5.32 이하이면 취약하며, 1.5.33 이상이면 패치된 버전입니다. 아무 결과도 없으면 logback-core가 설치되어 있지 않은 것입니다.
find / -name 'logback-core*.jar' 2>/dev/null | xargs -I{} sh -c 'unzip -p {} META-INF/MANIFEST.MF 2>/dev/null | grep -i impl-version | sed "s|^|{}: |"'