最近这漏洞真的是没完没了了，前阵子 Log4j2 接连爆出漏洞就已经把大家折腾得不轻了。
昨晚上我看技术群消息的时候，看到群友在聊 Logback 又爆漏洞了。当时我就震惊了，立马打开 Logback 官网查看具体信息，果然！
# 安全漏洞：CVE-2021-42550
漏洞详细：攻击者通过更改 logback 配置文件添加恶意配置，从而可以执行 LDAP 服务器上加载的任意代码。
安全等级：中级
影响版本：1.2.9 以下版本
执行漏洞需要完全满足以下条件：
  • 具有编写 logback.xml 的权限
  • Logback 版本低于 1.2.9
  • 执行恶意代码的前提：重启应用或者是在攻击之前将 scan 设为 "true"(scan="true")
# 防护方案
临时解决方案：
将 Logback 配置文件设置为只读。
正式解决方案：
将 Logback 升级至 1.2.9 版本。
<properties>  <logback.version>1.2.9</logback.version></properties>
# 总结
如果你是 Spring Boot 的用户，那么我建议赶紧升级防护一下。因为除了Spring Boot 新发布的 2.6.2、2.5.8版本使用了1.2.9之外，之前的版本都在受影响范围之内。
这个漏洞其实已经公布好几天了，幸运的是漏洞执行条件比较高，给大家带来的影响不大，大家不用慌哈！
相关链接
Logback News：https://logback.qos.ch/news.html
CVE.report：https://cve.report/CVE-2021-42550
GitHub：https://github.com/spring-projects/spring-boot/issues/29012
热门推荐：
继续阅读
阅读原文
关键词
文件
配置文件
版本
代码
1.2.9