CVE-2017-15708
In Apache Synapse, per impostazione predefinita non è richiesta alcuna autenticazione per Java Remote Method Invocation (RMI). Quindi Apache Synapse 3.0.1 o...
- Pubblicato
- 11 dic 2017
- Aggiornato
- 17 set 2024
- Assegnazione CNA
- apache
- Evidenza osservata
- 5 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HModerato · prossimi 30 giorni
- Percentile
- 97,1%
- Data del modello
- 11 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
In Apache Synapse, per impostazione predefinita non è richiesta alcuna autenticazione per Java Remote Method Invocation (RMI). Quindi Apache Synapse 3.0.1 o tutte le versioni precedenti (3.0.0, 2.1.0, 2.0.0, 1.2, 1.1.2, 1.1.1) consentono attacchi di esecuzione di codice remoto che possono essere eseguiti iniettando oggetti serializzati appositamente costruiti. Inoltre, la presenza di Apache Commons Collections 3.2.1 (commons-collections-3.2.1.jar) o versioni precedenti nella distribuzione di Synapse rende questo sfruttabile. Per mitigare il problema, dobbiamo limitare l'accesso RMI ai soli utenti fidati. Inoltre, l'aggiornamento alla versione 3.0.1 eliminerà il rischio di avere la suddetta versione di Commons Collection. In Synapse 3.0.1, Commons Collection è stata aggiornata alla versione 3.2.2.
Fonti
- CVE-2017-15708Exploit
Apache synapse deserializzazione CVE–2017–15708
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.