リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2015:2523 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Apache Commons Collections ライブラリは、新しいインターフェース、実装、ユーティリティを提供し、 Java コレクションフレームワークの機能を拡張します。

    特別に構成された意一連のクラスを含むオブジェクトの逆シリアル化時に、 Apache commons コレクションライブラリがコードの実行を許可していたことが分かりました。リモートの攻撃者がこの欠陥を利用し、commons- collections ライブラリを使用するアプリケーションのアクセス許可で任意のコードを実行する可能性があります。(CVE-2015-7501)

    この更新により、commons-collections ライブラリにおける特定のクラスの逆シリアル化が許可されなくなります。これらのクラスの逆シリアル化を要求するアプリケーションが、システムプロパティである「org.apache.commons.collections.enableUnsafeSerialization」を使用して逆シリアル化を再有効化させる可能性があります。

    このセキュリティの欠陥の詳細については、こちらをご覧ください：
    https://access.redhat.com/solutions/2045023

    rh-java-common-apache-commons-collections のすべてのユーザーは、バックポートされたパッチを含む前述の更新済みパッケージにアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、commons-collections ライブラリを使用する実行中のアプリケーションすべてを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 6 / 7 : rh-java-common-apache-commons-collections (RHSA-2015:2523)

critical Nessus プラグイン ID 234398

変更ログが見つかりません