Security fix for CVE-2016-6814

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to its self-reported version number, the Oracle Primavera Gateway installation running on the remote web server is prior to 14.2.3, 15.x prior to 15.2.12, or 16.x prior to 16.2.4. It is, therefore, affected by the following vulnerabilities :

  - A remote code execution vulnerability exists in the     Primavera Integration (Standard) component, specifically     in Apache Standard Taglib, due to an XML external entity     (XXE) injection flaw when parsing XML data because of an     incorrectly configured XML parser accepting XML external     entities from untrusted sources. An unauthenticated,     remote attacker can exploit this, via specially crafted     XML data, to disclose resources on the target system or     utilize XSLT extensions to execute arbitrary code.
    (CVE-2015-0254)

  - A remote code execution vulnerability exists in the     Primavera Integration (Groovy) component due to unsafe     deserialize calls of unauthenticated Java objects to the     Apache Commons Collections (ACC) library. An     unauthenticated, remote attacker can exploit this to     execute arbitrary code on the target host.
    (CVE-2016-6814)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:2596 advisory.

    Groovy is an agile and dynamic language for the Java Virtual Machine, built upon Java with features     inspired by languages like Python, Ruby, and Smalltalk. It seamlessly integrates with all existing Java     objects and libraries and compiles straight to Java bytecode so you can use it anywhere you can use Java.

    Security Fix(es):

    * Multiple object deserialization flaws were discovered in the MethodClosure class in Groovy. A specially     crafted serialized object deserialized by an application using the Groovy library could cause the     application to execute arbitrary code. (CVE-2015-3253, CVE-2016-6814)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Oracle JDeveloper installed on the remote host is missing a security patch. It is, therefore, affected by vulnerability in the Spatial (Apache Groovy) component of Oracle Database Server.
Please see the vendor advisory for additional information.

The remote Oracle Database Server is missing the October 2017 Critical Patch Update (CPU). It is, therefore, affected by multiple vulnerabilities as noted in the October 2017 Critical Patch Update advisory. Please consult the CVRF details for the applicable CVEs for additional information.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

An update for groovy is now available for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Groovy is an agile and dynamic language for the Java Virtual Machine, built upon Java with features inspired by languages like Python, Ruby, and Smalltalk. It seamlessly integrates with all existing Java objects and libraries and compiles straight to Java bytecode so you can use it anywhere you can use Java.

Security Fix(es) :

* It was found that a flaw in Apache groovy library allows remote code execution wherever deserialization occurs in the application. It is possible for an attacker to craft a special serialized object that will execute code directly when deserialized. All applications which rely on serialization and do not isolate the code which deserializes objects are subject to this vulnerability. (CVE-2016-6814)

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:2486 advisory.

    Groovy is an agile and dynamic language for the Java Virtual Machine, built upon Java with features     inspired by languages like Python, Ruby, and Smalltalk. It seamlessly integrates with all existing Java     objects and libraries and compiles straight to Java bytecode so you can use it anywhere you can use Java.

    Security Fix(es):

    * It was found that a flaw in Apache groovy library allows remote code execution wherever deserialization     occurs in the application. It is possible for an attacker to craft a special serialized object that will     execute code directly when deserialized. All applications which rely on serialization and do not isolate     the code which deserializes objects are subject to this vulnerability. (CVE-2016-6814)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Apache Groovyプロジェクトによる報告:

クラスパスにGroovyがあるアプリケーションが標準的なJavaシリアル化メカニズムを使用する場合（サーバー間通信やローカルデータの保存など）、攻撃者が逆シリアル化時に直接コードを実行する特別にシリアル化されたオブジェクトをベイク処理する可能性があります。
シリアル化を利用し、オブジェクトを逆シリアル化するコードを分離しないアプリケーションはすべて、この脆弱性の影響を受けます。
これはCVE-2015-3253に類似していますが、この悪用にはオブジェクトの余分なラッピングと例外のキャッチが含まれ、現在は安全に保護されています。

以下のためのセキュリティ修正 CVE-2016-6814

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているOracle Primavera Gatewayのインストールは、14.2.3より前、15.2.12より前の15.x、または16.2.4より前の16.xです。したがって、次の脆弱性の影響を受けます： - XMLパーサーが正しく設定されておらず信頼できないソースからのXML外部エンティティを受け入れるため、XMLデータ解析時にXML外部エンティティ（XXE）インジェクションの欠陥があり、Primavera Integration（Standard）コンポーネント、特にApache Standard Taglibに、リモートでコードが実行される脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたXMLデータを介して、標的のシステムのリソースを漏えいしたり、XSLT拡張機能を利用して任意のコードを実行したりする可能性があります。（CVE-2015-0254）- Apache Commons Collections（ACC）ライブラリへの認証されていない Java オブジェクトの逆シリアル化呼び出しが安全ではないため、リモートでコードが実行される脆弱性がPrimavera Integration（Groovy）コンポーネントにあります。認証されていないリモートの攻撃者がこれを悪用し、ターゲットホスト上で任意のコードを実行する恐れがあります。（CVE-2016-6814）Nessusはこれらの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:2596 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    GroovyはJavaで構築され、Python、Ruby、Smalltalkなどの言語に似た機能を備えた、Java Virtual Machine用の俊敏で動的な言語です。既存のすべてのJavaオブジェクトおよびライブラリとシームレスに統合され、Javaバイトコードに直接コンパイルできるため、Javaを使用できる場所であればどこでも使用できます。

    セキュリティ修正プログラム: 

    * Groovy の MethodClosure クラスで、複数のオブジェクトデシリアライゼーションの欠陥が検出されました。Groovy ライブラリを使用してアプリケーションによってデシリアライゼーションが行われた、特別に細工されたシリアルオブジェクトは、アプリケーションで任意のコードを実行する可能性があります。(CVE-2015-3253、CVE-2016-6814)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
96679	Fedora 25 : groovy (2017-cc0e0daf0f)	Nessus	Fedora Local Security Checks	2017/1/23	2021/1/6	critical
101899	Oracle Primavera Gateway Multiple Vulnerabilities (July 2017 CPU)	Nessus	CGI abuses	2017/7/21	2021/1/29	critical
210264	RHEL 6 / 7 : rh-maven33-groovy (RHSA-2017:2596)	Nessus	Red Hat Local Security Checks	2024/11/5	2025/4/29	critical
103931	Oracle JDeveloper ADF Faces Unspecified Remote Code Execution (October 2017 CPU)	Nessus	Misc.	2017/10/18	2022/4/11	critical
103971	Oracle Database Multiple Vulnerabilities (October 2017 CPU)	Nessus	Databases	2017/10/19	2023/5/14	critical
102879	CentOS 7 : groovy (CESA-2017:2486)	Nessus	CentOS Local Security Checks	2017/9/1	2025/11/25	critical
102574	RHEL 7 : groovy (RHSA-2017:2486)	Nessus	Red Hat Local Security Checks	2017/8/18	2025/11/26	critical
96511	FreeBSD: groovy -- 信頼できないコード/DoSのリモート実行の脆弱性（4af92a40-db33-11e6-ae1b-002590263bf5）	Nessus	FreeBSD Local Security Checks	2017/1/16	2021/1/4	critical
96679	Fedora 25：groovy（2017-cc0e0daf0f）	Nessus	Fedora Local Security Checks	2017/1/23	2021/1/6	critical
101899	Oracle Primavera Gatewayの複数の脆弱性（2017年7月のCPU）	Nessus	CGI abuses	2017/7/21	2021/1/29	critical
210264	RHEL 6 / 7 : rh-maven33-groovy (RHSA-2017:2596)	Nessus	Red Hat Local Security Checks	2024/11/5	2025/4/29	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical