CVE-2021-42550

Versões 1.2.7 e anteriores do logback

O problema está relacionado ao mecanismo de desserialização da biblioteca logback, que pode ser explorado por um invasor com os privilégios necessários para editar arquivos de configuração. Isso poderia permitir a execução de código arbitrário carregado de servidores LDAP. Um invasor poderia criar uma configuração maliciosa para conseguir isso.

Para as versões 1.2.7 e anteriores do logback, atualize para a versão 1.2.8 e desative todo o código de pesquisa como correção recomendada. Como solução alternativa temporária, considere restringir o acesso aos arquivos de configuração para impedir edições maliciosas. Além disso, desativar o uso de servidores LDAP para carregamento de código pode ajudar a minimizar o risco de exploração até que o problema seja totalmente resolvido.