FreeBSD:groovy -- 远程执行不受信任的代码 (67b3fef2-2bea-11e5-86ff-14dae9d210b8)

critical Nessus 插件 ID 84814

简介

远程 FreeBSD 主机缺少与安全相关的更新。

描述

Cédric Champeau 报告:

描述

如果应用程序在类路径中有 Groovy,并且将标准 Java 序列化机制用于在服务器之间通信或存储本地数据,则攻击者可以创建特殊的序列化对象,用于在反序列化时直接执行代码。所有依赖序列化且不隔离用于反序列化对象的代码的应用程序都容易受到此漏洞的影响。

解决方案

更新受影响的程序包。

另见

https://seclists.org/oss-sec/2015/q3/121

http://groovy-lang.org/security.html

https://issues.apache.org/jira/browse/GROOVY-7504

http://www.nessus.org/u?55ec8b27

插件详情

严重性: Critical

ID: 84814

文件名: freebsd_pkg_67b3fef22bea11e586ff14dae9d210b8.nasl

版本: 2.11

类型: local

发布时间: 2015/7/17

最近更新时间: 2021/1/6

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 7.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS v3

风险因素: Critical

基本分数: 9.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

漏洞信息

CPE: p-cpe:/a:freebsd:freebsd:groovy, cpe:/o:freebsd:freebsd

必需的 KB 项: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info

补丁发布日期: 2015/7/16

漏洞发布日期: 2015/7/9

参考资料信息

CVE: CVE-2015-3253