リモートコード実行の脆弱性を修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Cédric Champeau 氏による報告：

説明

アプリケーションのクラスパスに Groovy があり、このアプリケーションが標準的な Java シリアル化メカニズムを使ってサーバー間で通信するか、またはローカルデータを保存する場合、攻撃者が特別にシリアル化されたオブジェクトをベイク処理し、逆シリアル化時に直接コードを実行する可能性があります。シリアル化を利用し、オブジェクトを逆シリアル化するコードを分離しないアプリケーションは全て、この脆弱性の影響を受けます。

HP Zero Day イニシアチブと共に活動している cpnrodzc7 は、信頼できないデータをデコードするために標準の Java シリアル化メカニズムを使用し、クラスパス上に Groovy を保持する Java アプリケーションへシリアル化されたオブジェクトを渡すことにより、そのアプリケーションが任意のコードを実行することを発見しました。

旧安定版（oldstable）ディストリビューション（squeeze）では、この問題はバージョン 1.7.0-4+deb6u1 で修正されています。

旧安定版（oldstable）ディストリビューション（wheezy）および安定版（stable）ディストリビューション（jessie）では、この問題は間もなく修正されます。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

出典：Red Hatセキュリティアドバイザリ2017:2486：groovyの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。GroovyはJavaで構築され、Python、Ruby、Smalltalkなどの言語に似た機能を備えた、Java Virtual Machine用の俊敏で動的な言語です。既存のすべてのJavaオブジェクトおよびライブラリとシームレスに統合され、Javaバイトコードに直接コンパイルできるため、Javaを使用できる場所であればどこでも使用できます。セキュリティ修正プログラム：* アプリケーションで逆シリアル化が発生すると場所を問わず、Apache Groovyライブラリの欠陥によりリモートでコードが実行される可能性があることが判明しました。攻撃者が特別なシリアル化されたオブジェクトを作成し、逆シリアル化時にコードを直接実行する可能性があります。シリアル化を利用し、オブジェクトを逆シリアル化するコードを分離しないアプリケーションはすべて、この脆弱性の影響を受けます。（CVE-2016-6814）

Groovyの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。GroovyはJavaで構築され、Python、Ruby、Smalltalkなどの言語に似た機能を備えた、Java Virtual Machine用の俊敏で動的な言語です。既存のすべてのJavaオブジェクトおよびライブラリとシームレスに統合され、Javaバイトコードに直接コンパイルできるため、Javaを使用できる場所であればどこでも使用できます。セキュリティ修正プログラム：* アプリケーションで逆シリアル化が発生すると場所を問わず、Apache Groovyライブラリの欠陥によりリモートでコードが実行される可能性があることが判明しました。攻撃者が特別なシリアル化されたオブジェクトを作成し、逆シリアル化時にコードを直接実行する可能性があります。シリアル化を利用し、オブジェクトを逆シリアル化するコードを分離しないアプリケーションはすべて、この脆弱性の影響を受けます。（CVE-2016-6814）

リモートホストは、GLSA-201610-01（Groovy：任意のコードの実行）で記述されている脆弱性に影響されています。GroovyのMethodClosureクラス（runtime/MethodClosure.java）は、細工およびシリアル化されたオブジェクトに対して脆弱です。影響： リモートの攻撃者が任意のコードを実行したり、サービス拒否の状態を引き起こしたりする可能性があります。回避策：標準のJavaセキュリティマネージャーを利用するカスタムセキュリティポリシーファイルを使用するか、シリアル化に依存せずにリモートで通信してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
102899	Fedora 26：groovy18（2017-9899aba20e）	Nessus	Fedora Local Security Checks	2017/9/1	2021/1/6	critical
84814	FreeBSD：groovy -- 信頼できないコードのリモート実行（67b3fef2-2bea-11e5-86ff-14dae9d210b8）	Nessus	FreeBSD Local Security Checks	2015/7/17	2021/1/6	critical
84832	Debian DLA-274-1：groovy セキュリティ更新	Nessus	Debian Local Security Checks	2015/7/20	2021/1/11	critical
102570	Oracle Linux 7：groovy（ELSA-2017-2486）	Nessus	Oracle Linux Local Security Checks	2017/8/18	2021/1/14	critical
102897	Fedora 25：groovy18（2017-6a0389a6a7）	Nessus	Fedora Local Security Checks	2017/9/1	2021/1/6	critical
102574	RHEL 7：groovy（RHSA-2017:2486）	Nessus	Red Hat Local Security Checks	2017/8/18	2019/10/24	critical
102879	CentOS 7：groovy（CESA-2017:2486）	Nessus	CentOS Local Security Checks	2017/9/1	2021/1/4	critical
93902	GLSA-201610-01：Groovy：任意のコードの実行	Nessus	Gentoo Local Security Checks	2016/10/7	2021/1/11	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical