CVE-2017-15708

सारांश

Apache Synapse में, डिफ़ॉल्ट रूप से Java Remote Method Invocation (RMI) के लिए कोई प्रमाणीकरण आवश्यक नहीं है। इसलिए Apache Synapse 3.0.1 या इसके सभी पिछले रिलीज़ (3.0.0, 2.1.0, 2.0.0, 1.2, 1.1.2, 1.1.1) रिमोट कोड एक्ज़ीक्यूशन हमलों की अनुमति देते हैं, जिन्हें विशेष रूप से तैयार किए गए सीरियलाइज़्ड ऑब्जेक्ट्स इंजेक्ट करके अंजाम दिया जा सकता है। और Synapse वितरण में Apache Commons Collections 3.2.1 (commons-collections-3.2.1.jar) या पिछले संस्करणों की उपस्थिति इसे शोषण योग्य बनाती है। इस समस्या को कम करने के लिए, हमें RMI एक्सेस को केवल विश्वसनीय उपयोगकर्ताओं तक सीमित करने की आवश्यकता है। इसके अलावा, 3.0.1 संस्करण में अपग्रेड करने से उक्त Commons Collection संस्करण के होने का जोखिम समाप्त हो जाएगा। Synapse 3.0.1 में, Commons Collection को 3.2.2 संस्करण में अपडेट किया गया है।

• CVE-2017-15708एक्सप्लॉइट

  Apache synapse डिसीरियलाइज़ेशन CVE–2017–15708