发现 Apache commons-collections 库反序列化包含特别构建类链的对象时，允许执行代码。远程攻击者可利用此缺陷，以使用 commons- collections 库的应用程序所具有的权限执行任意代码。(CVE-2015-7501)

通过此更新，不再允许对 commons-collections 库中的某些类进行反序列化。需要将这些类进行反序列化的应用程序可使用系统属性“org.apache.commons.collections.enableUnsafeSerialization”重新启用其反序列化。

其间，解决此特定反序列化漏洞的最快方式为删除所有 commons-collections jar 文件中易受攻击的类文件（InvokerTransformer、InstantiateFactory 和 InstantiateTransformer）。应对任何手动更改进行测试，以避免无法预见的混乱。

必须重新启动所有使用 commons-collections 库且正在运行的应用程序才能使更新生效。

检测

Scientific Linux 安全更新：SL6.x 中的 jakarta-commons-collections (noarch)

critical Nessus 插件 ID 87121

未找到变更日志