CVE-2017-15708

总结

在 Apache Synapse 中，默认情况下 Java 远程方法调用（RMI）不需要任何身份验证。因此，Apache Synapse 3.0.1 或所有先前版本（3.0.0、2.1.0、2.0.0、1.2、1.1.2、1.1.1）允许通过注入特制序列化对象来执行远程代码攻击。并且 Synapse 发行版中存在 Apache Commons Collections 3.2.1（commons-collections-3.2.1.jar）或先前版本，使得该漏洞可利用。为缓解此问题，我们需要将 RMI 访问限制为仅限受信任用户。进一步升级到 3.0.1 版本将消除上述 Commons Collection 版本带来的风险。在 Synapse 3.0.1 中，Commons Collection 已更新至 3.2.2 版本。

• CVE-2017-15708漏洞利用

  Apache synapse 反序列化 CVE–2017–15708