There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - In Apache Synapse, by default no authentication is required for Java Remote Method Invocation (RMI). So
    Apache Synapse 3.0.1 or all previous releases (3.0.0, 2.1.0, 2.0.0, 1.2, 1.1.2, 1.1.1) allows remote code
    execution attacks that can be performed by injecting specially crafted serialized objects. And the
    presence of Apache Commons Collections 3.2.1 (commons-collections-3.2.1.jar) or previous versions in
    Synapse distribution makes this exploitable. To mitigate the issue, we need to limit RMI access to trusted
    users only. Further upgrading to 3.0.1 version will eliminate the risk of having said Commons Collection
    version. In Synapse 3.0.1, Commons Collection has been updated to 3.2.2 version. (CVE-2017-15708)

遠端主機上安裝的 3.0.1 之前版本的所有 Apache Synapse 受到一個遠端程式碼執行弱點影響。這可透過插入特製的序列化物件來執行。Synapse 發行版本中存在 Apache Commons Collections 3.2.1 (commons-collections-3.2.1.jar) 或先前版本，可導致此問題遭到惡意利用。若要減輕此問題，我們需要將 RMI 存取限制為僅限受信任的使用者。進一步升級至 3.0.1 版，將消除擁有上述 Commons Collection 版本的風險。在 Synapse 3.0.1 中，Commons Collection 已更新至 3.2.2 版。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的所有版本低于 3.0.1 的 Apache Synapse 受到远程代码执行漏洞的影响。可通过注入特别构建的序列化对象执行。并且，Synapse 发行版本中存在的 Apache Commons Collections 3.2.1 (commons-collections-3.2.1.jar) 或更早版本会使其可以利用。为缓解此问题，我们需要限制 RMI 的访问权限，仅允许受信任的用户访问。进一步升级至 3.0.1 版将消除上述 Commons Collection 版本的风险。在 Synapse 3.0.1 中，Commons Collection 已更新至 3.2.2 版。

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

遠端主機會受到 GLSA-202107-37 中所述的弱點影響 (Apache Commons Collections：遠端程式碼執行)

    Apache Commons Collections 仿函式套件中的某些類別預設會還原序列化可能不受信任的輸入。
  影響：

    使用 Apache Commons Collections 還原序列化不受信任的輸入可導致執行遠端程式碼。
  因應措施：

    目前尚無已知的因應措施。

远程主机会受到 GLSA-202107-37 中所述漏洞的影响（Apache Commons Collections：远程代码执行）

    Apache Commons Collections 仿函数程序包中的某些类会默认反序列化可能不受信任的输入。
  影响：

    使用 Apache Commons Collections 反序列化不受信任的输入可能导致远程代码执行漏洞。
  变通方案：

    目前无任何已知的变通方案。

リモートホストにインストールされている3.0.1以前のすべてのApache Synapseリリースは、リモートコード実行脆弱性の影響を受けます。これは、特別に細工されたシリアル化オブジェクトを注入することで実行できます。また、SynapseディストリビューションにApache Commons Collections 3.2.1(commons-collections-3.2.1.jar ) またはSynapseディストリビューションの以前のバージョンの存在により、これが悪用される可能性があります。この問題を緩和するには、RMIアクセスを信頼できるユーザーのみに制限する必要があります。3.0.1バージョンにさらにアップグレードすることで、前述のCommons Collectionバージョンを持つリスクが排除されます。Synapse 3.0.1で、Commons Collectionが3.2.2バージョンに更新されました。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote host is affected by the vulnerability described in GLSA-202107-37 (Apache Commons Collections: Remote code execution)

    Some classes in the Apache Commons Collections functor package       deserialized potentially untrusted input by default.
  Impact :

    Deserializing untrusted input using Apache Commons Collections could       result in remote code execution.
  Workaround :

    There is no known workaround at this time.

All Apache Synapse releases previous to 3.0.1 installed on the remote host are affected by a Remote Code Execution vulnerability. This can be performed by injecting specially crafted serialized objects. And the presence of Apache Commons Collections 3.2.1 (commons-collections-3.2.1.jar) or previous versions in Synapse distribution makes this exploitable. To mitigate the issue, we need to limit RMI access to trusted users only. Further upgrading to 3.0.1 version will eliminate the risk of having said Commons Collection version. In Synapse 3.0.1, Commons Collection has been updated to 3.2.2 version.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
417333	SCA: security update for org.apache.synapse:synapse-core (GHSA-p694-23q3-rvrc)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	critical
417333	SCA: security update for org.apache.synapse:synapse-core (GHSA-p694-23q3-rvrc)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	critical
142226	Apache Synapse < 3.0.1 遠端程式碼執行弱點	Nessus	Misc.	2020/11/3	2024/10/7	critical
142226	Apache Synapse < 3.0.1 远程代码执行漏洞	Nessus	Misc.	2020/11/3	2024/10/7	critical
156980	GLSA-202107-37：Apache Commons Collections：遠端程式碼執行	Nessus	Gentoo Local Security Checks	2022/1/24	2023/12/21	critical
156980	GLSA-202107-37：Apache Commons Collections：远程代码执行	Nessus	Gentoo Local Security Checks	2022/1/24	2023/12/21	critical
142226	Apache Synapse < 3.0.1のリモートコード実行の脆弱性	Nessus	Misc.	2020/11/3	2024/10/7	critical
156980	GLSA-202107-37 : Apache Commons Collections: Remote code execution	Nessus	Gentoo Local Security Checks	2022/1/24	2023/12/21	critical
142226	Apache Synapse < 3.0.1 Remote Code Execution Vulnerability	Nessus	Misc.	2020/11/3	2024/10/7	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical