cpnrodzc7 与 HP 的零日计划合作，发现使用标准 Java 序列化机制来解码不受信任数据并在类路径中具有 Groovy 的 Java 应用程序可被传递序列化对象，该对象将导致应用程序执行任意代码。

对于旧稳定发行版本 (squeeze)，已在版本 1.7.0-4+deb6u1 中修复该问题。

对于旧稳定发行版本 (wheezy) 和稳定发行版本 (jessie)，此问题将很快得到修复。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2017:2596 公告中提及的多个漏洞影响。

    Groovy 是用于 Java 虚拟机的一种敏捷动态语言，构建在 Java 之上，并添加借鉴于 Python、Ruby、Smalltalk 等语言的特征。它可与现有的所有 Java 对象和类库无缝集成，直接编译成 Java 字节码，以便在任何使用 Java 的位置使用 Groovy。

    安全修复：

    * 在 Groovy 的 MethodClosure 类中发现多种对象反序列化缺陷。应用程序使用 Groovy 库将特制的序列化对象反序列化，可造成应用程序执行任意代码。（CVE-2015-3253、CVE-2016-6814）

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Cédric Champeau 报告：

描述

如果应用程序在类路径中有 Groovy，并且将标准 Java 序列化机制用于在服务器之间通信或存储本地数据，则攻击者可以创建特殊的序列化对象，用于在反序列化时直接执行代码。所有依赖序列化且不隔离用于反序列化对象的代码的应用程序都容易受到此漏洞的影响。

远程主机受到 GLSA-201610-01 中所述漏洞的影响（Groovy：任意代码执行）

    runtime/MethodClosure.java 中的 Groovy&rsquo;s MethodClosure 类容易受到精心构建的序列化对象的影响。
  影响：

    远程攻击者可能执行任意代码，或造成拒绝服务情况 变通方案：

    现有的变通方案是使用利用标准 Java 安全管理器的自定义安全策略文件，或是依靠序列化进行远程通信。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2017:2486 公告中提及的多个漏洞的影响。

    Groovy 是用于 Java 虚拟机的一种敏捷动态语言，构建在 Java 之上，并添加借鉴于 Python、Ruby、Smalltalk 等语言的特征。它可与现有的所有 Java 对象和类库无缝集成，直接编译成 Java 字节码，以便在任何使用 Java 的位置使用 Groovy。

    安全修复：

    * 在 Apache groovy 类库中发现缺陷，应用程序中无论何处发生反序列化，该缺陷即允许远程代码执行。攻击者可构建特殊的序列化对象，该对象在反序列化时直接执行代码。所有依赖于序列化且未隔离反序列化对象的代码的应用程序都会受到此漏洞的影响。 (CVE-2016-6814)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

groovy 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Groovy 是用于 Java 虚拟机的一种敏捷动态语言，构建在 Java 之上，并添加借鉴于 Python、Ruby、Smalltalk 等语言的特征。它可与现有的所有 Java 对象和类库无缝集成，直接编译成 Java 字节码，以便在任何使用 Java 的位置使用 Groovy。安全修复：* 在 Apache groovy 类库中发现缺陷，程序中无论何处发生反序列化，该缺陷即允许远程代码执行。攻击者可构建特殊的序列化对象，该对象在反序列化时直接执行代码。所有依赖序列化且不隔离用于反序列化对象的代码的应用程序都容易受到此漏洞的影响。(CVE-2016-6814)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
84832	Debian DLA-274-1：groovy 安全更新	Nessus	Debian Local Security Checks	2015/7/20	2021/1/11	critical
210264	RHEL 6/7：rh-maven33-groovy (RHSA-2017:2596)	Nessus	Red Hat Local Security Checks	2024/11/5	2025/4/29	critical
84814	FreeBSD：groovy -- 远程执行不受信任的代码 (67b3fef2-2bea-11e5-86ff-14dae9d210b8)	Nessus	FreeBSD Local Security Checks	2015/7/17	2021/1/6	critical
93902	GLSA-201610-01：Groovy：任意代码执行	Nessus	Gentoo Local Security Checks	2016/10/7	2021/1/11	critical
102574	RHEL 7 : groovy (RHSA-2017:2486)	Nessus	Red Hat Local Security Checks	2017/8/18	2025/4/29	critical
102879	CentOS 7 : groovy (CESA-2017:2486)	Nessus	CentOS Local Security Checks	2017/9/1	2021/1/4	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical