Amazon Linux 2023：javapackages-bootstrap (ALAS2023-2025-1027)

high Nessus Plugin ID 240308

語言:

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，此版本會受到 ALAS2023-2025-1027 公告中提及的一個弱點影響。

Apache Commons 中的不當存取控制弱點。

1.9.2版中已新增一個特殊的 BeanIntrospector 類別。這可用來阻止攻擊者使用 Java 列舉物件宣告的類別內容來取得類別載入器的存取權。不過此防護預設並未啟用。PropertyUtilsBean (以及後續的 BeanUtilsBean) 現在預設為禁止宣告的類別層級內容存取。

版本 1.11.0 和 2.0.0-M2 解決了以不受控制的方式存取列舉內容時的潛在安全性問題。如果使用 Commons BeanUtils 的應用程式將內容路徑從外部來源直接傳送至 PropertyUtilsBean 的 getProperty() 方法攻擊者可透過所有 Java 列舉物件上可用的 delayedClass 內容存取列舉的類別載入器。存取列舉的宣告類別可允許遠端攻擊者存取 ClassLoader 並執行任意程式碼。PropertyUtilsBean.getNestedProperty() 存在相同的問題。從 1.11.0 和 2.0.0-M2 版開始特殊的 BeanIntrospector 會隱藏 delayedClass 內容。請注意此新 BeanIntrospector 預設為啟用但您可以將其停用以重新獲得舊行為請參閱使用者指南的 2.5 小節和單元測試。

此問題會影響 Apache Commons BeanUtils 1.x 之前的 1.11.0和 2.0.0-M2 之前的 2.x 。artifact commons-beanutils:commons-beanutils 的使用者

1.x 建議升級至 1.11.0版其可修正該問題。

成品 org.apache.commons:commons-beanutils2 的使用者

2.x 建議升級至 2.0.0-M2 版其可修正該問題。 (CVE-2025-48734)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。