KnowSafe 安全预警：Apache OpenJPA对象反序列化任意文件创建或覆盖漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2013-1768 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

OpenJPA是Apache组织提供的开源项目,它实现了EJB 3.0中的JPA标准,为开发者提供功能强大、使用简单的持久化数据管理框架。

Apache OpenJPA对恶意特制的OpenJPA对象进行反序列化时，可把可执行文件写入到文件系统中，攻击者需要找到一个未保护服务程序来利用此漏洞，然后需要利用其他未保护服务器程序来执行文件并或对系统的访问。

应用：apache openjpa（版本 1.0.0）

应用：apache openjpa（版本 1.0.1）

应用：apache openjpa（版本 1.0.2）

应用：apache openjpa（版本 1.0.3）

应用：apache openjpa（版本 1.0.4）

应用：apache openjpa（版本 1.1.0）

应用：apache openjpa（版本 1.2.0）

应用：apache openjpa（版本 1.2.1）

……另有 12 项受影响环境，详见官方公告

用户可参考如下厂商提供的安全补丁以修复此漏洞：

OpenJPA 1.0.x revision 1462558:

http://svn.apache.org/viewvc?view=revision&revision=1462558

OpenJPA 1.1.x revision 1462512:

http://svn.apache.org/viewvc?view=revision&revision=1462512

OpenJPA 1.2.x revision 1462488:

http://svn.apache.org/viewvc?view=revision&revision=1462488

OpenJPA 1.3.x revision 1462328:

http://svn.apache.org/viewvc?view=revision&revision=1462328

OpenJPA 2.0.x revision 1462318:

http://svn.apache.org/viewvc?view=revision&revision=1462318

OpenJPA 2.1.x revision 1462268:

http://svn.apache.org/viewvc?view=revision&revision=1462268

OpenJPA 2.2.1.x revision 1462225:

http://svn.apache.org/viewvc?view=revision&revision=1462225

OpenJPA 2.2.x revision 1462076:

http://svn.apache.org/viewvc?view=revision&revision=1462076

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。