リモートホストにインストールされている3.0.1以前のすべてのApache Synapseリリースは、リモートコード実行脆弱性の影響を受けます。これは、特別に細工されたシリアル化オブジェクトを注入することで実行できます。また、SynapseディストリビューションにApache Commons Collections 3.2.1(commons-collections-3.2.1.jar ) またはSynapseディストリビューションの以前のバージョンの存在により、これが悪用される可能性があります。この問題を緩和するには、RMIアクセスを信頼できるユーザーのみに制限する必要があります。3.0.1バージョンにさらにアップグレードすることで、前述のCommons Collectionバージョンを持つリスクが排除されます。Synapse 3.0.1で、Commons Collectionが3.2.2バージョンに更新されました。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Apache Synapse < 3.0.1のリモートコード実行の脆弱性

critical Nessus プラグイン ID 142226

バージョン 1.5