遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2015:2523 公告中提及的多個弱點影響。

    Apache Commons Collections 程式庫提供新的介面、實作與公用程式來擴充Java 集合架構的功能。

    據發現，Apache commons-collections 程式庫在將涉及特製類別鏈結的物件還原序列化時，會允許程式碼執行。遠端攻擊者可能利用此缺陷任意程式碼，該程式碼將以使用 commons- collections 程式庫之應用程式的權限執行。(CVE-2015-7501)

    透過此更新，不再允許還原序列化 commons-collections 程式庫中的某些類別。需要將這些類別還原序列化的應用程式可以使用系統屬性 org.apache.commons.collections.enableUnsafeSerialization 來重新啟用其還原序列化。

    有關此安全性缺陷的詳細資訊，可在以下位置找到:
    https://access.redhat.com/solutions/2045023

    建議所有 rh-java-common-apache-commons-collections 使用者皆升級至這些更新版套件，其中包含可更正此問題的反向移植修補程式。使用 commons-collections 程式庫的所有執行中應用程式都必須重新啟動，更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 6 / 7: rh-java-common-apache-commons-collections (RHSA-2015:2523)

critical Nessus Plugin ID 234398

找不到變更記錄