7Asecurity

**Nome do software vulnerável e versões afetadas** Versões do logback-core de 0.1 a 1.3.14 Versões do logback-core de 1.4.0 a 1.5.12 **Descrição** A vulnerabilidade está relacionada à extensão JaninoEventEvaluator no logback-core, que permite que um invasor execute código arbitrário ao comprometer um arquivo de configuração existente do logback ou ao injetar uma variável de ambiente antes da execução do programa. Para que o ataque seja bem-sucedido, é necessário que o usuário tenha acesso de gravação a um arquivo de configuração. Alternativamente, o invasor poderia injetar uma variável de ambiente maliciosa apontando para um arquivo de configuração malicioso. Em ambos os casos, o ataque requer privilégios existentes. Arquivos de configuração maliciosos do logback podem permitir que o invasor execute código arbitrário usando a extensão JaninoEventEvaluator. **Recomendações** Para as versões 0.1 a 1.3.14 do logback-core, considere desativar a extensão JaninoEventEvaluator até que um patch esteja disponível. Para as versões 1.4.0 a 1.5.12 do logback-core, considere desativar a extensão JaninoEventEvaluator até que um patch esteja disponível. Como solução temporária, restrinja o acesso aos arquivos de configuração para minimizar o risco de exploração. Evite injetar variáveis de ambiente que possam apontar para arquivos de configuração maliciosos até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do logback de 0.1 a 1.3.14 Versões do logback de 1.4.0 a 1.5.12 **Descrição** A vulnerabilidade permite que um invasor falsifique solicitações ao comprometer arquivos de configuração do logback em XML. Isso é feito através da modificação da declaração DOCTYPE nos arquivos de configuração XML, possibilitando ataques de falsificação de solicitação do lado do servidor (SSRF). **Recomendações** Para as versões do logback 0.1 a 1.3.14, atualize para uma versão fora desse intervalo para mitigar o risco. Para as versões do logback 1.4.0 a 1.5.12, atualize para uma versão fora desse intervalo para mitigar o risco. Como solução alternativa temporária, considere restringir as modificações nos arquivos de configuração do logback para impedir a exploração.