CVE-2024-12798
highPriorität · verfolgen · 0EPSS 0.005 · 39. PerzentilDEEUFRJPNLRUUSEPSS · bewertet 2026-10-22
ACE vulnerability in JaninoEventEvaluator by QOS.CH logback-core upto including version 0.1 to 1.3.14 and 1.4.0 to 1.5.12 in Java applications allows attacker to execute arbitrary code by compromising an existing logback configuration file or by injecting an environment variable before program execution. Malicious logback configuration files can allow the attacker to execute arbitrary code using the JaninoEventEvaluator extension. A successful attack requires the user to have write access to a configuration file. Alternatively, the attacker could inject a malicious environment variable pointing to a malicious configuration file. In both cases, the attack requires existing privilege.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–high · 1.7–7.3
SSVC
Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (201)
Betroffene Produkte und Versionsbereiche.
- Red Hat Enterprise Linux Apache Camel for Spring Bootalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:apache_camel_for_spring_boot
Advisories (6)
Hersteller- und Ökosystem-Meldungen dazu.
- NCSC-2025-0124Kwetsbaarheden verholpen in Oracle CommunicationsNL2025-04-16csaf · ncsc_nlNL
Oracle heeft meerdere kwetsbaarheden verholpen in Oracle Communications producten, waaronder de Cloud Native Core en Policy Management.
- WID-SEC-W-2025-0284Apache Camel for Spring Boot: Mehrere SchwachstellenDeutsch2025-02-05csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Apache Camel, Red Hat Enterprise Linux und Red Hat Integration ausnutzen, um beliebigen Code auszuführen und Sicherheitsmaßnahmen zu umgehen.
- WID-SEC-W-2025-0824Oracle Communications Applications: Mehrere SchwachstellenDeutsch2025-04-15csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- GHSA-pr98-23f8-jwxvQOS.CH logback-core Expression Language Injection vulnerability2024-12-19ghsa · osvUS
ACE vulnerability in JaninoEventEvaluator by QOS.CH logback-core up to and including version 1.5.12 in Java applications allows attackers to execute arbitrary code by compromising an existing logback configuration file or by injecting an environment variable before program execution. Malicious logback configuration files can allow the attacker to execute arbitrary code using the JaninoEventEvaluator extension. A successful attack requires the user to have write access to a configuration file. Alternatively, the attacker could inject a malicious environment variable pointing to a malicious configuration file. In both cases, the attack requires existing privilege.
- CERTFR-2026-AVI-1352Multiples vulnérabilités dans Oracle PeopleSoftFrançais2026-10-21vendor · certfrFR
- JVNDB-2026-010300JVN iPedia advisory JVNDB-2026-0103002026-04-08vendor · jvndbJP
auch bekannt als (4)
Weitere Namen und Kennungen dieser Entität.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (10)
Externe Belege — Patches, Meldungen, Analysen.
- https://access.redhat.com/security/cve/cve-2024-12798cnnvd
- https://logback.qos.ch/news.html#1.3.15cnnvd
- https://logback.qos.ch/news.html#1.5.13cnnvd
- https://vigilance.fr/vulnerability/Logback-privilege-escalation-via-JaninoEventEvaluator-46045cnnvd
- https://www.oracle.com/security-alerts/cpuapr2025.htmlcnnvd
- https://www.oracle.com/security-alerts/cpuoct2025.htmlcnnvd
- https://logback.qos.ch/news.html#1.3.15enisa_euvd
- https://logback.qos.ch/news.html#1.5.13enisa_euvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan