Amazon Linux 2023apache-commons-beanutils、apache-commons-beanutils-javadocALAS2023-2025-999

high Nessus プラグイン ID 238283

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2025-999 のアドバイザリに記載されている脆弱性の影響を受けます。

Apache Commons における不適切なアクセスコントロールの脆弱性。

特別な BeanIntrospector クラスがバージョン 1.9.2で追加されました。これは、攻撃者が Java enum オブジェクトの宣言されたクラスプロパティを使用して、クラスローダーへアクセスするのを阻止するために使用できます。ただし、この保護はデフォルトでは有効になっていませんでした。PropertyUtilsBean結果として BeanUtilsBeanは現時点では BeanUtilsBeanにより、宣言されたクラスレベルのプロパティアクセスをデフォルトで許可しません。

リリース 1.11.0 および 2.0.0-M2 は、制御されていない方法で enum プロパティにアクセスする際の潜在的なセキュリティ問題に対処します。Commons BeanUtilsを使用するアプリケーションが、外部ソースからPropertyUtilsBeanのgetProperty()メソッドにプロパティパスを直接渡す場合、攻撃者はすべてのJava enumオブジェクトで使用可能なoccuredClassプロパティを介してenumのクラスローダーにアクセスできます。enum の ClaredClass にアクセスすると、リモートの攻撃者が ClassLoader にアクセスでき、任意のコードを実行できます。PropertyUtilsBean.getNestedProperty() に同じ問題が存在します。バージョン 1.11.0 および 2.0.0-M2 以降では、特別な BeanIntrospector が宣言されたクラスプロパティを抑制します。注意この新しい BeanIntrospector はデフォルトで有効化されていますが、無効化して古い挙動に戻すことができます。ユーザーガイドのセクション 2.5 およびユニットテストを参照してください。

この問題は、 1.11.0より前の Apache Commons BeanUtils 1.x および 2.0.0-M2 より前の 2.x に影響します。アーチファクトの commons-beanutils:commons-beanutils のユーザー

1.x では、この問題を修正するバージョン 1.11.0にアップグレードすることが推奨されています。

org.apache.commons:commons-beanutils2 のユーザー

2.x では、この問題を修正するバージョン 2.0.0-M2 にアップグレードすることが推奨されています。CVE-2025-48734

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。