Linux Distros 未修补的漏洞：CVE-2023-37895
critical Nessus 插件 ID 227103
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- 所有平台上的 Jackrabbit Webapp/Standalone 中的 Java 对象反序列化问题允许攻击者通过 RMI版本低于 包括 2.20.10 稳定分支和 2.21.17 不稳定分支使用组件 commons-beanutils该类包含一个类可用于通过 RMI 进行远程代码执行的 。建议用户立即更新到版本 2.20.11 或 2.21.18。请注意较早的稳定分支 (1.0.x.. 2.18.x) 已寿命终止且不会再接收更新。一般来说只要类路径中存在可利用类RMI 支持就会暴露漏洞。即使 Jackrabbit 本身不包含任何已知的可再利用的代码将其他组件添加到服务器也可以暴露相同类型的问题。因此我们建议完全禁用 RMI 访问详情请参阅下文并将在未来的 Jackrabbit 版本中讨论如何弃用 RMI 支持。如何检查是否启用了 RMI 支持RMI 支持可以通过 RMI 特定的 TCP 端口运行，也可以通过 HTTP 绑定运行。在 Jackrabbit WebApp/Standalone 中默认启用两者。本机 RMI 协议默认使用端口 1099。是否启用可使用 netstat 等工具检查。Jackrabbit 中的 RMI-over-HTTP 默认使用路径 /rmi。因此当在 8080 端口上独立运行时检查 localhost:8080/rmi 上的 HTTP GET 请求是返回 404未启用还是 200启用。请注意当 web 应用作为非根上下文在容器中部署时HTTP 路径可能会有所不同在此情况下前缀由用户控制。关闭 RMIFind web.xml在 JAR/WAR 文件或解包的 Web 应用程序文件夹中并删除 RemoteBindingServlet 的声明和映射定义 <servlet> <servlet-name>RMI</servlet-name> <servlet-class>org.apache.jackrabbit.servlet.remote.RemoteBindingServlet</servlet-class> </servlet> <servlet-mapping> <servlet-name>[ RMI</servlet-name> <url-pattern>/rmi</url-pattern> </servlet-mapping> 查找 $REPOSITORY_HOME中的 bootstrap.properties 文件并且设置 rmi。enabled=false 并同时删除 rmi.host rmi.port rmi.url-pattern 如果 $REPOSITORY_HOME中没有名为 bootstrap.properties 的文件则该文件位于类路径中的某处。在这种情况下，请将副本放置在 $REPOSITORY_HOME 中，并按照说明对其进行修改。
(CVE-2023-37895)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Critical
ID: 227103
文件名: unpatched_CVE_2023_37895.nasl
版本: 1.3
类型: local
代理: unix
系列: Misc.
发布时间: 2025/3/5
最近更新时间: 2025/8/18
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Medium
基本分数: 6.8
时间分数: 5
矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2023-37895
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:14.04:-:lts, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:jackrabbit, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:jackrabbit, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:debian:debian_linux:12.0
必需的 KB 项: Host/OS/identifier, Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched
易利用性: No known exploits are available
漏洞发布日期: 2023/7/25
参考资料信息
CVE: CVE-2023-37895