シリアル化された Java オブジェクトを承認するエンドポイントを持つ Java アプリケーションにより、攻撃者がシリアル化できるコレクションを組み合わせて、任意のリモートコード実行を作成する可能性があります。FoxGlove に基づき、RMI または HTTP からの攻撃が可能になります。InvokerTransformer クラスに、脆弱性が存在しています。クラスパスが commons-collections または commons-collections4 に存在する場合、アプリケーションに脆弱性が存在しています。

リモートの SUSE Linux SLES12 ホストには、SUSE-SU-2025:02056-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    1.11.0 に更新:

      * 修正されたバグ

        - BeanComparator.compare(T, T) は今では RuntimeException の代わりに IllegalArgumentException をスローし、ReflectiveOperationException のすべてのケースをラップします。
        - MappedMethodReference.get() は、RuntimeException の代わりに IllegalStateException をスローし、NoSuchMethodException のケースをラップするようになりました。
        - ResultSetIterator.get(String) は、RuntimeException の代わりに IllegalArgumentException をスローし、SQLException のケースをラップするようになりました。
        - ResultSetIterator.hasNext() は、RuntimeException の代わりに IllegalStateException をスローし、SQLException のケースをラップするようになりました。
        - ResultSetIterator.next() は、RuntimeException の代わりに IllegalStateException をスローし、SQLException のケースをラップするようになりました。
        - ResultSetIterator.set(String, Object) は、RuntimeException の代わりに IllegalArgumentException をスローし、SQLException のケースをラップするようになりました。
        - ResultSetIterator.set(String, String, Object) は、RuntimeException の代わりに IllegalArgumentException をスローし、SQLException のケースをラップするようになりました。

      * 変更

        - org.apache.commons.beanutils .SuppressPropertiesBeanIntrospector.SUPPRESS_DECLARING_CLASS を追加します。
          bsc#1243793、CVE-2025-48734を修正します
        - org.apache.commons:commons-parent を 81 から 84 へ更新します。
        - commons-logging:commons-logging を 1.3.4 から 1.3.5へ更新します。

    1.10.1 に更新:

      * 修正されたバグ

        - BEANUTILS-541fluentPropertyBeanIntrospector の並行性問題 1.Xへのバックポート #325。
        - Javadoc に概要ページがありません。
        - nouses ディレクティブを maven-bundle-plugin から削除します。OSGi パッケージインポートは現在、パッケージインポートに「uses」定義を使用します。これは JPMS に影響を与えませんorg.apache.commons:commons-parent:80 から。
        - BeanUtils.BeanUtils() を廃止します。
        - ConstructorUtils.ConstructorUtils() を廃止します。
        - LocaleBeanUtils.LocaleBeanUtils() を廃止します。
        - LocaleConvertUtils.LocaleConvertUtils() を廃止します。
        - ConvertUtils.ConvertUtils() を廃止します。
        - MethodUtils.MethodUtils() を廃止します。
        - PropertyUtils.PropertyUtils() を廃止します。

      * 変更

        - org.apache.commons:commons-parent を 78 から 81 へ更新します。

     1.10.0からの変更を含みます

      * 修正されたバグ

        - BEANUTILS-541fluentPropertyBeanIntrospector が破損した writeMethod をキャッシュします1.x バックポート #69。
        - Locale.ENGLISH の内部使用を Locale.ROOT で置換します。
        - Maven CLIRR プラグインを JApiCmp で置換します。
        + Port to Java 1.4 スロー可能な API!。
        + Java 8、17、および 21 の Javadoc 生成を修正します。
        + AbstractArrayConverter.parseElements(String) は、生のリストの代わりに、リスト<String> を返すようになりました。

      * 変更

        + org.apache.commons:commons-parent を 47 から 78 へ更新します。
        + Java 要件を Java 6 から 8 へ更新します。
        + junit:junit を 4.12 から 4.13.2へ更新します。
        + JUnit を 4.x から 5.x 'vintage' へ更新。
        + commons-logging:commons-logging を 1.2 から 1.3.4へ更新します。
        + 削除のための BeanUtilsBean.initCause(Throwable, Throwable) を廃止し、Throwable.initCause(Throwable) を使用してください。
        + 削除のための BeanUtils.initCause(Throwable, Throwable) を廃止し、Throwable.initCause(Throwable) を使用します。

    1.9.4 に更新:

      * BEANUTILS-520BeanUtils は、 を緩和します CVE-2014-0114

    1.9.3 に更新しました

      * これは、Java 8 での構築のためのテストも改善するバグ修正リリースです。
      * Java 8 以降は java.util.List 上のインデックス付き Bean プロパティをサポートしなくなり、String[] のような配列のみをサポートすることに注意してください。
        BEANUTILS-492。これは PropertyUtils.getPropertyType() および PropertyUtils.getPropertyDescriptor() に影響を与えます。このため、javadoc が更新され、JDK のこの変更が反映されています。

      * このバージョンには次の変更が含まれます

        - 修正されたバグ

          * BEANUTILS-477FluentPropertyBeanIntrospector のログレベルを変更しました
          * BEANUTILS-492DynaBeans でインデックス付きプロパティを設定する際の例外を修正しました。
          * BEANUTILS-470BigDecimal を変換する際に精度が失われます。
          * BEANUTILS-465インデックス付きリストセッターが修正されました。

        - 変更

          * BEANUTILS-433Junit から 3.8.14.12への依存関係を更新します。
          * BEANUTILS-469commons-logging を 1.1.1 から 1.2へ更新します。
          * BEANUTILS-474fluentPropertyBeanIntrospector は、DefaultBeanIntrospector と同じ命名アルゴリズムを使用しません。
          * BEANUTILS-490Java の要件を Java 5 から 6 に更新します。
          * BEANUTILS-482commons-collections を 3.2.1 から 3.2.2 へ更新しますCVE-2015-4852
          * BEANUTILS-490java の要件を Java 6 に更新します。
          * BEANUTILS-492IndexedPropertyDescriptor テストが Java 8 でパスするようになりました。
          * BEANUTILS-495DateConverterTestBase は Java 9 の M/d/yy で失敗します。
          * BEANUTILS-496testGetDescriptorInvalidBoolean が Java 9 で失敗します。
        - 変更の履歴リスト
          http://commons.apache.org/proper/commons-beanutils/changes-report.html

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Oracle WebLogic Server のバージョンは、複数の脆弱性による影響を受けます。

  - Sites サブコンポーネントは、FEATURE_SECURE_PROCESSING が有効な場合に特定のプロパティへのアクセスを適切に制限することに失敗するため、Apache Xalan-Java ライブラリで、セキュリティバイパスの脆弱性の影響を受けます。リモートの攻撃者が、これを悪用して制限をバイパスし、任意のクラスをロードしたり、外部リソースにアクセスしたりする可能性があります。
    （CVE-2014-0107）

  - WLS Security コンポーネントは、Apache Commons Collections（ACC）ライブラリへの認証されていない Java オブジェクトの呼び出しを安全に逆シリアル化しないため、リモートコード実行の脆弱性の影響を受けます。リモートの攻撃者は、これを悪用して、TCPポート7001へのT3プロトコルトラフィックで、細工されたシリアル化済みのJavaオブジェクトを通じて、任意のコマンドを実行する可能性があります。（CVE-2015-4852）

  - WLS-Console サブコンポーネントに詳細不明な脆弱性が存在するため、リモートの攻撃者は、システムの整合性に影響を与えることが可能です。これ以上の詳細情報はありません。（CVE-2016-0464）

  - Coherence Container サブコンポーネントに詳細不明な脆弱性が存在するため、リモートの攻撃者は、システムの機密性、整合性、可用性に影響を与えることが可能です。これ以上の詳細情報はありません。
    （CVE-2016-0572）

  - WLS Java Messaging Service サブコンポーネントに詳細不明な脆弱性が存在するため、リモートの攻撃者は、システムの機密性、整合性、可用性に影響を与えることが可能です。これ以上の詳細情報はありません。（CVE-2016-0573）

  - WLS Core Components サブコンポーネントに複数の詳細不明な脆弱性が存在するため、リモートの攻撃者は、システムの機密性、整合性、可用性に影響を与えることが可能です。これ以上の詳細情報はありません。（CVE-2016-0574、CVE-2016-0577）

リモートの Ubuntu 14.04 LTS ホストには、USN-6936-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Apache Commons Collections が、デフォルトで安全でないクラスのシリアル化サポートを許可することがわかりました。リモートの攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Apache Commons Collections（ACC）ライブラリに対する認証されていない Java オブジェクトの安全でないシリアル化解除呼び出しが原因で、リモートの Oracle WebLogic サーバーは、WLS セキュリティコンポーネントのリモートコード実行脆弱性による影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、ターゲットホスト上で任意のコードを実行する恐れがあります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
87432	F5 Networks BIG-IP：Java commons-collections ライブラリの脆弱性（SOL30518307）	Nessus	F5 Networks Local Security Checks	2015/12/17	2022/12/5	high
240588	SUSE SLES12 セキュリティ更新apache-commons-beanutilsSUSE-SU-2025:02056-1	Nessus	SuSE Local Security Checks	2025/6/26	2025/6/26	critical
88053	Oracle WebLogic Serverの複数の脆弱性（2016年1月CPU）	Nessus	Misc.	2016/1/21	2025/8/11	high
204940	Ubuntu 14.04 LTS: Apache Commons Collections の脆弱性 (USN-6936-1)	Nessus	Ubuntu Local Security Checks	2024/8/1	2024/8/27	critical
87011	Oracle WebLogic Java オブジェクト逆シリアル化 RCE	Nessus	Web Servers	2015/11/23	2022/12/5	critical
87209	Oracle WebLogic Server Java オブジェクトの逆シリアル化 RCE（ローカルチェック）	Nessus	Misc.	2015/12/4	2025/8/11	critical

検出

プラグインの検索

high

critical

high

critical

critical

critical