CVE-2016-5003、CVE-2016-5002のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

xmlrpcの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache XML-RPCはXML-RPCのJava実装で、HTTP経由でXMLを使用してリモートプロシージャ呼び出しを実装する一般的なプロトコルです。セキュリティ修正プログラム：* xmlrpc：タグによる信頼できないJavaオブジェクトの逆シリアル化（CVE-2016-5003）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

enabledForExtensions設定が有効化されていると、信頼できないデータを逆シリアル化する欠陥がApache XML-RPC (ws-xmlrpc) ライブラリで発見されました。リモート攻撃者がこの脆弱性を悪用して、ex:serializable 要素を細工し、シリアル化された Java オブジェクトを介して任意のコードを実行する可能性があります。(CVE-2016-5003)

出典: Red Hatセキュリティアドバイザリ2018:1779:xmlrpc3の更新がRed Hat Enterprise Linux 6用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache XML-RPCはXML-RPCのJava実装で、HTTP経由でXMLを使用してリモートプロシージャ呼び出しを実装する一般的なプロトコルです。セキュリティ修正プログラム：* xmlrpc：タグによる信頼できないJavaオブジェクトの逆シリアル化（CVE-2016-5003）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

xmlrpc3の更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache XML-RPCはXML-RPCのJava実装で、HTTP経由でXMLを使用してリモートプロシージャ呼び出しを実装する一般的なプロトコルです。セキュリティ修正プログラム：* xmlrpc：タグによる信頼できないJavaオブジェクトの逆シリアル化（CVE-2016-5003）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

セキュリティ修正プログラム:

  - xmlrpc:<ex:serializable>タグによる信頼できないJavaオブジェクトの逆シリアル化（CVE-2016-5003）

出典：Red Hatセキュリティアドバイザリ2018:1780：xmlrpcの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache XML-RPCはXML-RPCのJava実装で、HTTP経由でXMLを使用してリモートプロシージャ呼び出しを実装する一般的なプロトコルです。セキュリティ修正プログラム：* xmlrpc：タグによる信頼できないJavaオブジェクトの逆シリアル化（CVE-2016-5003）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2018:1779 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Apache XML-RPCはXML-RPCのJava実装で、HTTP経由でXMLを使用してリモートプロシージャ呼び出しを実装する一般的なプロトコルです。

    セキュリティ修正プログラム:

    * xmlrpc：による信頼できない Java オブジェクトの逆シリアル化<ex:serializable>タグ（CVE-2016-5003）

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

xmlrpcの更新プログラムが、Red Hat Enterprise Linux 7のRed Hat Virtualization 4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。XML-RPCはインターネットでリモートプロシージャコールを行う方法です。プロシージャコールをXML文章に変換し、それをHTTPプロトコルを使用してリモートサーバーに送り、XMLとしてレスポンスが返されます。次のパッケージが新しいアップストリームバージョンにアップグレードされました：xmlrpc（3.1.3）。（BZ#1594618）セキュリティ修正プログラム：* xmlrpc：タグによる信頼できないJavaオブジェクトの逆シリアル化（CVE-2016-5003）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2018:1784 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - xmlrpc: <ex:serializable> タグによる信頼できない Java オブジェクトの逆シリアル化 (CVE-2016-5003)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
110301	Fedora 27：1：xmlrpc（2018-6e6f1003d6）	Nessus	Fedora Local Security Checks	2018/6/4	2024/9/26	critical
120400	Fedora 28：1: xmlrpc（2018-4ac4229aa8）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/5	critical
110281	RHEL 7：xmlrpc（RHSA-2018:1780）	Nessus	Red Hat Local Security Checks	2018/6/1	2024/9/26	critical
110780	Amazon Linux 2：xmlrpc (ALAS-2018-1041)	Nessus	Amazon Linux Local Security Checks	2018/6/29	2024/9/12	critical
110277	Oracle Linux 6：xmlrpc3（ELSA-2018-1779）	Nessus	Oracle Linux Local Security Checks	2018/6/1	2024/11/1	critical
110297	CentOS 6：xmlrpc3（CESA-2018:1779）	Nessus	CentOS Local Security Checks	2018/6/4	2024/9/26	critical
110298	CentOS 7：xmlrpc（CESA-2018:1780）	Nessus	CentOS Local Security Checks	2018/6/4	2024/9/26	critical
110307	Scientific Linux セキュリティ更新: SL7.xのxmlrpc（noarch）（20180531）	Nessus	Scientific Linux Local Security Checks	2018/6/4	2024/9/26	critical
110278	Oracle Linux 7：xmlrpc（ELSA-2018-1780）	Nessus	Oracle Linux Local Security Checks	2018/6/1	2024/11/1	critical
110280	RHEL 6：xmlrpc3（RHSA-2018:1779）	Nessus	Red Hat Local Security Checks	2018/6/1	2025/4/15	critical
110283	Scientific Linux セキュリティ更新: SL6.xのnoxmlrpxml3（noarch）（20180531）	Nessus	Scientific Linux Local Security Checks	2018/6/1	2024/9/26	critical
111514	RHEL 7：仮想化（RHSA-2018:2317）	Nessus	Red Hat Local Security Checks	2018/8/2	2025/4/15	critical
194131	RHEL 6 / 7 : rh-java-common-xmlrpc (RHSA-2018:1784)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical