There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Java object deserialization issue in Jackrabbit webapp/standalone on all platforms allows attacker to
    remotely execute code via RMIVersions up to (including) 2.20.10 (stable branch) and 2.21.17 (unstable
    branch) use the component "commons-beanutils", which contains a class that can be used for remote code
    execution over RMI. Users are advised to immediately update to versions 2.20.11 or 2.21.18. Note that
    earlier stable branches (1.0.x .. 2.18.x) have been EOLd already and do not receive updates anymore. In
    general, RMI support can expose vulnerabilities by the mere presence of an exploitable class on the
    classpath. Even if Jackrabbit itself does not contain any code known to be exploitable anymore, adding
    other components to your server can expose the same type of problem. We therefore recommend to disable RMI
    access altogether (see further below), and will discuss deprecating RMI support in future Jackrabbit
    releases. How to check whether RMI support is enabledRMI support can be over an RMI-specific TCP port, and
    over an HTTP binding. Both are by default enabled in Jackrabbit webapp/standalone. The native RMI protocol
    by default uses port 1099. To check whether it is enabled, tools like "netstat" can be used to check. RMI-
    over-HTTP in Jackrabbit by default uses the path "/rmi". So when running standalone on port 8080, check
    whether an HTTP GET request on localhost:8080/rmi returns 404 (not enabled) or 200 (enabled). Note that
    the HTTP path may be different when the webapp is deployed in a container as non-root context, in which
    case the prefix is under the user's control. Turning off RMIFind web.xml (either in JAR/WAR file or in
    unpacked web application folder), and remove the declaration and the mapping definition for the
    RemoteBindingServlet: <servlet> <servlet-name>RMI</servlet-name> <servlet-
    class>org.apache.jackrabbit.servlet.remote.RemoteBindingServlet</servlet-class> </servlet> <servlet-
    mapping> <servlet-name>RMI</servlet-name> <url-pattern>/rmi</url-pattern> </servlet-mapping> Find the
    bootstrap.properties file (in $REPOSITORY_HOME), and set rmi.enabled=false and also remove rmi.host
    rmi.port rmi.url-pattern If there is no file named bootstrap.properties in $REPOSITORY_HOME, it is located
    somewhere in the classpath. In this case, place a copy in $REPOSITORY_HOME and modify it as explained.
    (CVE-2023-37895)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在所有平台上Jackrabbit webapp/standalone 中的 Java 物件還原序列化問題允許攻擊者透過 RMIVersions 在最多版本 (包括) 2.20.10 (穩定分支) 和 2.21.17 (不穩定分支) 中使用元件 commons-beanutils (其中包含一個類別) 遠端執行程式碼可用於透過 RMI 執行遠端程式碼。建議使用者立即更新至 2.20.11 或 2.21.18版。請注意較早的穩定分支 (1.0.x.. 2.18.x) 已 EOLd不再接收更新。一般而言RMI 支援可能會因為類別路徑中存在可惡意利用的類別而暴露弱點。即使 Jackrabbit 本身已不包含任何已知可遭惡意利用的程式碼將其他元件新增至伺服器也可能暴露相同類型的問題。因此我們建議完全停用 RMI 存取 (詳情請參閱下文)並將在未來的 Jackrabbit 版本中討論取代 RMI 支援。如何檢查 RMI 支援是否已啟用RMI 支援可以透過 RMI 特定的 TCP 連接埠和 HTTP 系結使用。兩者在 Jackrabbit webapp/standalone 中皆預設啟用。依預設原生 RMI 通訊協定使用連接埠 1099。若要檢查其是否已啟用可使用 netstat 等工具進行檢查。Jackrabbit 中的 RMI-over-HTTP 預設使用路徑 /rmi。因此當在連接埠 8080 上獨立執行時請檢查 localhost:8080/rmi 上的 HTTP GET 要求是傳回 404 (未啟用) 還是 200 (啟用)。請注意當 webapp 以非 root 內容的形式部署在容器中時HTTP 路徑可能會有所不同在此情況下前置詞在使用者的掌控之下。關閉 RMIFind web.xml (在 JAR/WAR 檔案中或解壓縮的 web 應用程式資料夾中)並移除 RemoteBindingServlet 的宣告和對應定義 <servlet> <servlet-name>RMI</servlet-name> <servlet-class>org.apache.jackrabbit.servlet.remote.RemoteBindingServlet</servlet-class> </servlet> <servlet-mapping> <servlet-name>RMI</servlet-name> <url-pattern>/rmi</url-pattern> </servlet-mapping> 尋找 bootstrap.properties 檔案 (在 $REPOSITORY_HOME中)設定 rmi。enabled=false 並且移除 rmi.host rmi.port rmi.url-pattern 如果在 $REPOSITORY_HOME中沒有名為 bootstrap.properties 的檔案則該檔案位於類別路徑中的某處。在此情況下請在 $REPOSITORY_HOME 中放置一個複本並按照說明進行修改。
    (CVE-2023-37895)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 所有平台上的 Jackrabbit Webapp/Standalone 中的 Java 对象反序列化问题允许攻击者通过 RMI版本低于 包括 2.20.10 稳定分支和 2.21.17 不稳定分支使用组件 commons-beanutils该类包含一个类可用于通过 RMI 进行远程代码执行的 。建议用户立即更新到版本 2.20.11 或 2.21.18。请注意较早的稳定分支 (1.0.x.. 2.18.x) 已寿命终止且不会再接收更新。一般来说只要类路径中存在可利用类RMI 支持就会暴露漏洞。即使 Jackrabbit 本身不包含任何已知的可再利用的代码将其他组件添加到服务器也可以暴露相同类型的问题。因此我们建议完全禁用 RMI 访问详情请参阅下文并将在未来的 Jackrabbit 版本中讨论如何弃用 RMI 支持。如何检查是否启用了 RMI 支持RMI 支持可以通过 RMI 特定的 TCP 端口运行，也可以通过 HTTP 绑定运行。在 Jackrabbit WebApp/Standalone 中默认启用两者。本机 RMI 协议默认使用端口 1099。是否启用可使用 netstat 等工具检查。Jackrabbit 中的 RMI-over-HTTP 默认使用路径 /rmi。因此当在 8080 端口上独立运行时检查 localhost:8080/rmi 上的 HTTP GET 请求是返回 404未启用还是 200启用。请注意当 web 应用作为非根上下文在容器中部署时HTTP 路径可能会有所不同在此情况下前缀由用户控制。关闭 RMIFind web.xml在 JAR/WAR 文件或解包的 Web 应用程序文件夹中并删除 RemoteBindingServlet 的声明和映射定义 <servlet> <servlet-name>RMI</servlet-name> <servlet-class>org.apache.jackrabbit.servlet.remote.RemoteBindingServlet</servlet-class> </servlet> <servlet-mapping> <servlet-name>[ RMI</servlet-name> <url-pattern>/rmi</url-pattern> </servlet-mapping> 查找 $REPOSITORY_HOME中的 bootstrap.properties 文件并且设置 rmi。enabled=false 并同时删除 rmi.host rmi.port rmi.url-pattern 如果 $REPOSITORY_HOME中没有名为 bootstrap.properties 的文件则该文件位于类路径中的某处。在这种情况下，请将副本放置在 $REPOSITORY_HOME 中，并按照说明对其进行修改。
    (CVE-2023-37895)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - すべてのプラットフォームでの Jackrabbit webapp/スタンドアロンで 2.20.10 のJava オブジェクトの逆シリアル化の問題により 2.21.17 、攻撃者は、 RMI でのリモートコードの実行に使用される可能性があります。ユーザーは、バージョン 2.20.11 または 2.21.18へ直ちに更新することが推奨されます。注意以前の安定版stableブランチ1.0.x.. 2.18.xは、既に EOLd されており、今後更新を受け取りません。一般に、悪用可能なクラスがクラスパス上に存在するだけで、RMI サポートは脆弱性を漏洩させることができます。Jackrabbit 自体には悪用可能となるコードが含まれていない場合でも、他のコンポーネントをサーバーへ追加することで同じ種類の問題が発生する可能性があります。したがって、RMI アクセスをまとめて無効化することを推奨しており以下を参照、将来的な Jackrabbit リリースで RMI サポートの廃止について検討します。RMIサポートが有効かどうかを確認する方法RMIサポートは、RMI固有のTCPポート、およびHTTPバインディングを使用できます。どちらも Jackrabbit webapp/スタンドアロンでデフォルトで有効になっています。ネイティブRMIプロトコルは、デフォルトでポート1099を使用します。有効化されているかどうかを確認するには、netstat のようなツールを使用して確認できます。デフォルトでの Jackrabbit の RMI-over-HTTP はパス /rmi を使用します。そのため、ポート 8080 でスタンドアロンで実行している場合は、localhost:8080/rmi の HTTP GET リクエストが 404 (未有効) または 200 (有効) を返すかどうかを確認してください。webappが非ルートコンテキストとしてコンテナにデプロイされている場合、HTTPパスが異なる場合があります。この場合、プレフィックスはユーザーのコントロール下にあります。RMIFind web.xmlJAR/WAR ファイルまたは解凍された Web アプリケーションフォルダーのいずれかをオフにし、RemoteBindingServlet の宣言とマッピング定義を削除します <servlet> <servlet-name>RMI</servlet-name> <servlet-class>org.apache.jackrabbit.servlet.remote.RemoteBindingServlet</servlet-class> </servlet> <servlet-mapping> <servlet-name>] RMI</servlet-name> <url-pattern>/rmi</url-pattern> </servlet-mapping> bootstrap.properties ファイルを見つけます $REPOSITORY_HOME内、rmi を設定します。enabled=false また、rmi.host rmi.port rmi.url-pattern を削除します $REPOSITORY_HOMEに bootstrap.properties という名前のファイルがない場合、これはクラスパスのいずれかにあります。この場合は、 $REPOSITORY_HOME にコピーを配置し、説明に従って変更します。
    (CVE-2023-37895)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Java object deserialization issue in Jackrabbit webapp/standalone on all platforms allows attacker to     remotely execute code via RMIVersions up to (including) 2.20.10 (stable branch) and 2.21.17 (unstable     branch) use the component commons-beanutils, which contains a class that can be used for remote code     execution over RMI. Users are advised to immediately update to versions 2.20.11 or 2.21.18. Note that     earlier stable branches (1.0.x .. 2.18.x) have been EOLd already and do not receive updates anymore. In     general, RMI support can expose vulnerabilities by the mere presence of an exploitable class on the     classpath. Even if Jackrabbit itself does not contain any code known to be exploitable anymore, adding     other components to your server can expose the same type of problem. We therefore recommend to disable RMI     access altogether (see further below), and will discuss deprecating RMI support in future Jackrabbit     releases. How to check whether RMI support is enabledRMI support can be over an RMI-specific TCP port, and     over an HTTP binding. Both are by default enabled in Jackrabbit webapp/standalone. The native RMI protocol     by default uses port 1099. To check whether it is enabled, tools like netstat can be used to check. RMI-     over-HTTP in Jackrabbit by default uses the path /rmi. So when running standalone on port 8080, check     whether an HTTP GET request on localhost:8080/rmi returns 404 (not enabled) or 200 (enabled). Note that     the HTTP path may be different when the webapp is deployed in a container as non-root context, in which     case the prefix is under the user's control. Turning off RMIFind web.xml (either in JAR/WAR file or in     unpacked web application folder), and remove the declaration and the mapping definition for the     RemoteBindingServlet: <servlet> <servlet-name>RMI</servlet-name> <servlet-     class>org.apache.jackrabbit.servlet.remote.RemoteBindingServlet</servlet-class> </servlet> <servlet-     mapping> <servlet-name>RMI</servlet-name> <url-pattern>/rmi</url-pattern> </servlet-mapping> Find the     bootstrap.properties file (in $REPOSITORY_HOME), and set rmi.enabled=false and also remove rmi.host     rmi.port rmi.url-pattern If there is no file named bootstrap.properties in $REPOSITORY_HOME, it is located     somewhere in the classpath. In this case, place a copy in $REPOSITORY_HOME and modify it as explained.
    (CVE-2023-37895)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
417993	SCA: security update for org.apache.jackrabbit:jackrabbit-standalone, org.apache.jackrabbit:jackrabbit-standalone-components, org.apache.jackrabbit:jackrabbit-webapp (GHSA-q8cm-3v62-jj79)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	critical
417993	SCA: security update for org.apache.jackrabbit:jackrabbit-standalone, org.apache.jackrabbit:jackrabbit-standalone-components, org.apache.jackrabbit:jackrabbit-webapp (GHSA-q8cm-3v62-jj79)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	critical
227103	Linux Distros 未修補的弱點：CVE-2023-37895	Nessus	Misc.	3/5/2025	9/2/2026	critical
227103	Linux Distros 未修补的漏洞：CVE-2023-37895	Nessus	Misc.	3/5/2025	9/2/2026	critical
227103	Linux Distros のパッチ未適用の脆弱性: CVE-2023-37895	Nessus	Misc.	3/5/2025	9/2/2026	critical
227103	Linux Distros Unpatched Vulnerability : CVE-2023-37895	Nessus	Misc.	3/5/2025	9/2/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical