CVE-2017-15708
Açıklama
Apache Synapse'de varsayılan olarak Java Remote Method Invocation (RMI) için herhangi bir kimlik doğrulama gerekmemektedir. Bu nedenle Apache Synapse 3.0.1 veya önceki tüm sürümler (3.0.0, 2.1.0, 2.0.0, 1.2, 1.1.2, 1.1.1), özel olarak hazırlanmış serileştirilmiş nesnelerin enjekte edilmesiyle gerçekleştirilebilen uzaktan kod çalıştırma saldırılarına izin vermektedir. Synapse dağıtımında Apache Commons Collections 3.2.1 (commons-collections-3.2.1.jar) veya önceki sürümlerin bulunması bu durumu istismar edilebilir kılmaktadır. Sorunu gidermek için RMI erişimini yalnızca güvenilir kullanıcılarla sınırlandırmak gerekmektedir. Ayrıca 3.0.1 sürümüne yükseltme yapmak, söz konusu Commons Collection sürümünün oluşturduğu riski ortadan kaldıracaktır. Synapse 3.0.1'de Commons Collection 3.2.2 sürümüne güncellenmiştir.
Nasıl düzeltilir
- org.apache.synapse:synapse-core3.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache synapse | 1.0, 1.1, 1.1.1, 1.1.2, 1.2, 2.0.0, 2.1.0, 3.0.0 | — |
| oracle financial_services_market_risk_measurement_and_management | 8.0.6, 8.0.8 | — |
| oracle peoplesoft_enterprise_peopletools | 8.56, 8.57 | — |
| org.apache.synapse:synapse-coreMaven | v < 3.0.1 | 3.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.