远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的一个程序包受到 USN-4766-1 公告中提及的多个漏洞影响。

  - Apache Struts 1.x 到 1.3.10 版本以及需要 commons-beanutils 1.9.2 及其之前版本的其他产品的 lib/commons-beanutils-1.8.0.jar 中分发的 Apache Commons BeanUtils 未隐藏类属性，远程攻击者可借此通过类参数操纵 ClassLoader 并执行任意代码，将此参数传递至 Struts 1 的 ActionForm 对象的 getClass 方法中即为一例。(CVE-2014-0114)

  - Apache Commons Beanutils 1.9.2 中，添加了一个特殊的 BeanIntrospector 类，该类可抑制攻击者通过所有 Java 对象上可用的类属性访问类加载器的能力。
    然而，我们默认没有使用 PropertyUtilsBean 的这个特性。(CVE-2019-10086)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Ubuntu 16.04 ESM / 18.04 ESM：Apache Commons BeanUtils 漏洞 (USN-4766-1)

high Nessus 插件 ID 183108

未找到依赖项