Oracle WebLogic Serverの複数の脆弱性
critical Nessus プラグイン ID 103663
Language:
概要
リモートホストにインストールされているアプリケーションサーバーは、複数の脆弱性による影響を受けます。説明
リモートホストにインストールされているOracle WebLogic Serverのバージョンは、Apache Struts 2の複数の脆弱性の影響を受けますアセットで以下の脆弱性の1つが検出されました。- CVE-2017-5638：Apache Struts 2のJakarta Multipartパーサー、特に2.3.32より前の2.3.xと2.5.10.1より前の2.5.x
- CVE-2017-7672：Apache Strutsバージョン < 2.5.12
- CVE-2017-9787：Apache Strutsバージョン < 2.5.12または < 2.3.33
- CVE-2017-9791：Apache Struts 2.3.xのStruts 1プラグイン
- CVE-2017-9793：Apache Struts < 2.3.7 - 2.3.33 & < 2.5 - 2.5.12
- CVE-2017-9804：Apache Struts 2.3.7 -2.3.33 & 2.5 - 2.5.12
- CVE-2017-12611：Apache Struts 2.0.1 -2.3.33 & 2.5 - 2.5.10
ソリューション
Oracle Doc ID 2255054.1で説明されている手順を適用してください1. 最新のCPU（最低でも2017年10月）を適用します（リンク #4も参照してください）。
2. weblogicホームディレクトリにある日付の付いたstruts-rest.jarプラグインをアップグレードします。
3. サンプルにパッチを適用します（サンプルが存在する場合）。
参考資料
http://www.nessus.org/u?ecb5b4aa
http://www.nessus.org/u?5b3562b4
プラグインの詳細
深刻度: Critical
ID: 103663
ファイル名: oracle_weblogic_server_CVE-2017-9805.nbin
バージョン: 1.358
タイプ: local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2017/10/4
更新日: 2024/4/16
設定: 徹底したチェックを有効にする
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 10.0
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2017-5638
CVSS v3
リスクファクター: Critical
基本値: 10
現状値: 9.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:H/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:oracle:fusion_middleware, cpe:/a:oracle:weblogic_server
必要な KB アイテム: Oracle/WLS/Installed
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2017/9/22
脆弱性公開日: 2017/9/5
CISA の既知の悪用された脆弱性の期限日: 2022/5/3, 2022/8/10
エクスプロイト可能
CANVAS (CANVAS)
Core Impact
Metasploit (Apache Struts Jakarta Multipart Parser OGNL Injection)
Elliot (Apache Struts REST Plugin XStream RCE)
参照情報
CVE: CVE-2017-12611, CVE-2017-5638, CVE-2017-7672, CVE-2017-9787, CVE-2017-9791, CVE-2017-9793, CVE-2017-9804, CVE-2017-9805
BID: 96729, 99484, 99562, 99563, 100609, 100611, 100612, 100829