リモートホストにインストールされているOracle WebLogic Serverのバージョンは、複数の脆弱性による影響を受けます。- Javaセキュリティマネージャーが設定されていないとき、10.12.1.1より前のApache DerbyのSqlXmlUtilコードにおけるXML外部エンティティ（XXE）の脆弱性により、XmlVTIとXMLのデータタイプを含むベクトルを通じて、コンテキスト依存の攻撃者が任意のファイルを読み取ったり、サービス拒否（リソース消費）を引き起こしたりする可能性があります。（CVE-2015-1832）- Bouncy Castle BC 1.54～1.59、BC-FJA 1.0.0、BC-FJA 1.0.1およびそれ以前のバージョンでは、RSAキーペアジェネレーターへの低レベルインターフェイスに欠陥があります。特に確実性が高められた低レベルAPIで生成されたRSAキーペアでは、M-Rテストが予想より少なくなる場合があります。これは、バージョンBC 1.60ベータ4以降、BC-FJA 1.0.2以降で修正される予定です。（CVE-2018-1000180）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS Core Components）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。容易に悪用可能な脆弱性により、権限の高い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、重要なデータやOracle WebLogic Serverがアクセスできるすべてのデータを権限なしで作成、削除、変更される可能性があることに加えて、承認なしにOracle WebLogic Serverがアクセスできるデータのサブセットに読み取りアクセスを実行したり、Oracle WebLogic Serverでハングを引き起こしたり、頻繁にクラッシュを繰り返す（完全なDOS）可能性があります。（CVE-2019-2452）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS Core Components）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。悪用が難しい脆弱性ですが、認証されていない攻撃者がT3を介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。脆弱性があるのはOracle WebLogic Serverですが、攻撃により別の製品にも重大な影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、一部のOracle WebLogic Serverのアクセス可能データに対する権限のない更新アクセス、挿入アクセス、削除アクセス、さらに、Oracle WebLogic Serverのアクセス可能データのサブセットに対する権限のない読み取りアクセスにつながり、権限なくOracle WebLogic Serverの部分的サービス拒否（部分的DOS）を引き起こす可能性があります。（CVE-2019-2418）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Web Services）。影響を受けるサポート対象のバージョンは、10.3.6.0です。容易に悪用可能な脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Serverのアクセス可能データのサブセットに対する権限のない読み取りアクセスにつながり、権限なくOracle WebLogic Serverの部分的サービス拒否（部分的DOS）を引き起こす可能性があります。（CVE-2019-2395）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：アプリケーションコンテナ - JavaEE）。影響を受けるサポート対象のバージョンは、12.2.1.3です。容易に悪用可能な脆弱性により、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogicサーバーがアクセスできるサブセットのデータが、権限なしで読み取りアクセスされる可能性があります。（CVE-2019-2441）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Deployment）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。容易に悪用可能な脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Serverがアクセスできるいくつかのデータが、権限なしで更新、挿入または削除される可能性があります。（CVE-2019-2398) - 1.60より前のBouncy Castle Java Cryptography APIバージョンは、CWE-470の影響を受けます。XMSS/XMSS^MT秘密鍵の逆シリアル化ルーチンでクラスやコードを選択するための外部制御入力（「安全でないリフレクション」）の使用における欠陥。これにより、攻撃者が任意のコードを強制する可能性があります。悪意のあるコマンドを実行することが可能な、予期しないクラスへの参照を持つハードコードされた秘密鍵オブジェクトを使用して攻撃が仕掛けられます。（CVE-2018-1000613）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Web Services）。影響を受けるサポート対象のバージョンは、12.1.3.0および12.2.1.3です。容易に悪用可能な脆弱性により、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータへの認証されていないアクセスが可能になったり、Oracle WebLogicサーバーがアクセスできるすべてのデータに完全にアクセスできるようになったりします。（CVE-2018-3246）- Apache Derby 10.3.1.4から10.14.1.0では、特別に細工されたネットワークパケットを使用することによって、場所とコンテンツがユーザーの管理下にあるデータベースを起動するようにDerby Network Serverにリクエストされる可能性があります。Derby Network Serverの実行にJavaセキュリティマネージャーポリシーファイルが使用されていない場合に、攻撃が成功します。サーバーがポリシーファイルを使用している場合に、攻撃を成功させるには、ポリシーファイルによってデータベースの場所の読み取りが許可されている必要があります。影響を受けるリリースで配布されるデフォルトのDerby Network Serverポリシーファイルでは、デフォルトのNetwork Serverポリシーとしてアクセス権を与えるポリシーが含まれるため、攻撃の実行が可能になります。（CVE-2018-1313）

検出

Oracle WebLogic Serverの複数の脆弱性（2019年1月CPU）

critical Nessus プラグイン ID 121226

バージョン 1.8