在 Apache XML-RPC (即 ws-xmlrpc) 程式庫的 org.apache.xmlrpc.parser.XmlRpcResponseParser: addResult 方法中發現一個未受信任的還原序列化。惡意的 XML-RPC 伺服器可鎖定 XML-RPC 用戶端，導致其執行任意程式碼。

希望取得伺服器端例外狀況的用戶端必須將 enabledForExceptions 內容設定為 true，才能再次處理序列化的例外狀況訊息。

針對 Debian 8「Jessie」，已在 3.1.3-7+deb8u1 版本中修正此問題。

建議您升級 libxmlrpc3-java 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Guillaume Teissier 報告，libxmlrpc3-java (Java 的 XML-RPC 實作) 中的 XMLRPC 用戶端確實對在 XMLRPC 錯誤回應訊息的 faultCause 屬性中序列化的伺服器端例外情況執行了還原序列化。惡意的 XMLRPC 伺服器可利用此缺陷，以使用 Apache XMLRPC 用戶端程式庫之應用程式的權限執行任意程式碼。

請注意，希望取得伺服器端例外狀況的用戶端必須明確設定 enabledForExceptions 內容。

遠端主機受到 GLSA-202401-26 中所述的弱點影響 (Apache XML-RPC：多個弱點)

  - Apache Archiva 中使用的 Apache XML-RPC (即 ws-xmlrpc) 程式庫 3.1.3 存在 XML 外部實體 (XXE) 弱點，遠端攻擊者可藉此透過特製的 DTD 發動伺服器端要求偽造 (SSRF) 攻擊。(CVE-2016-5002)

  - 在 Apache Archiva 所使用的 Apache XML-RPC (即 ws-xmlrpc) 程式庫 3.1.3 版中，遠端攻擊者可透過 <ex: serializable> 元素中特製的序列化 Java 物件來執行任意程式碼。
    (CVE-2016-5003)

  - 在 org.apache.xmlrpc.parser.XmlRpcResponseParser 中發現了一個不受信任的還原序列化問題：Apache XML-RPC (即 ws-xmlrpc) 程式庫的 addResult 方法。惡意的 XML-RPC 伺服器可鎖定 XML-RPC 用戶端，導致其執行任意程式碼。Apache XML-RPC 的維護已中止，因此不會修正此問題。(CVE-2019-17570)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它受到 ALAS2-2023-2080 公告中提及的一個弱點影響。

  - 在 org.apache.xmlrpc.parser.XmlRpcResponseParser 中發現了一個不受信任的還原序列化問題：Apache XML-RPC (即 ws-xmlrpc) 程式庫的 addResult 方法。惡意的 XML-RPC 伺服器可鎖定 XML-RPC 用戶端，導致其執行任意程式碼。Apache XML-RPC 的維護已中止，因此不會修正此問題。(CVE-2019-17570)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6/7 主機上安裝的套件受到 RHSA-2020: 0310 公告中提及的多個弱點影響。

  - xmlrpc：從 XMLRPC 錯誤回應中的 failCause 還原序列化伺服器端例外狀況 (CVE-2019-17570)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 16.04 LTS / 18.04 LTS 主機已安裝套件，這些套件會受 USN-4496-1 公告中所提及的弱點影響。

  - 在 org.apache.xmlrpc.parser.XmlRpcResponseParser 中發現了一個不受信任的還原序列化問題：Apache XML-RPC (即 ws-xmlrpc) 程式庫的 addResult 方法。惡意的 XML-RPC 伺服器可鎖定 XML-RPC 用戶端，導致其執行任意程式碼。Apache XML-RPC 的維護已中止，因此不會修正此問題。(CVE-2019-17570)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Apache XML-RPC (即 ws-xmlrpc) 程式庫的 org.apache.xmlrpc.parser.XmlRpcResponseParser:addResult 方法中，發現一個不受信任的還原序列化。惡意的 XML-RPC 伺服器可鎖定 XML-RPC 用戶端，導致其執行任意程式碼。Apache XML-RPC 的維護已中止，因此不會修正此問題。(CVE-2019-17570)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
133362	Debian DLA-2078-1：libxmlrpc3-java 安全性更新	Nessus	Debian Local Security Checks	2020/1/31	2024/3/28	critical
133534	Debian DSA-4619-1：libxmlrpc3-java - 安全性更新	Nessus	Debian Local Security Checks	2020/2/7	2024/3/28	critical
189291	GLSA-202401-26：Apache XML-RPC：多個弱點	Nessus	Gentoo Local Security Checks	2024/1/22	2024/1/22	critical
176895	Amazon Linux 2：xmlrpc (ALAS-2023-2080)	Nessus	Amazon Linux Local Security Checks	2023/6/8	2024/12/11	critical
170326	RHEL 6/7：rh-java-common-xmlrpc (RHSA-2020：0310)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	critical
140593	Ubuntu 16.04 LTS / 18.04 LTS：Apache XML-RPC 弱點 (USN-4496-1)	Nessus	Ubuntu Local Security Checks	2020/9/15	2024/8/27	critical
222763	Linux Distros 未修補弱點：CVE-2019-17570	Nessus	Misc.	2025/3/4	2025/3/4	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical