CVE-2017-15708
Təsvir
Apache Synapse-də standart olaraq Java Remote Method Invocation (RMI) üçün heç bir autentifikasiya tələb olunmur. Buna görə də Apache Synapse 3.0.1 və ya bütün əvvəlki versiyalar (3.0.0, 2.1.0, 2.0.0, 1.2, 1.1.2, 1.1.1), xüsusi hazırlanmış seriyalaşdırılmış obyektlərin inyeksiya edilməsi yolu ilə həyata keçirilə bilən uzaqdan kodun icrası hücumlarına yol verir. Synapse distribusiyasındakı Apache Commons Collections 3.2.1 (commons-collections-3.2.1.jar) və ya daha əvvəlki versiyaların mövcudluğu bunu istismar edilə bilən edir. Problemi aradan qaldırmaq üçün RMI girişini yalnız etibarlı istifadəçilərlə məhdudlaşdırmaq lazımdır. Versiyanın 3.0.1-ə yüksəldilməsi sözügedən Commons Collection versiyasının yaratdığı riski aradan qaldıracaqdır. Synapse 3.0.1-də Commons Collection 3.2.2 versiyasına yenilənmişdir.
Necə düzəltmək olar
- org.apache.synapse:synapse-core3.0.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache synapse | 1.0, 1.1, 1.1.1, 1.1.2, 1.2, 2.0.0, 2.1.0, 3.0.0 | — |
| oracle financial_services_market_risk_measurement_and_management | 8.0.6, 8.0.8 | — |
| oracle peoplesoft_enterprise_peopletools | 8.56, 8.57 | — |
| org.apache.synapse:synapse-coreMaven | v < 3.0.1 | 3.0.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.