リモートホストにインストールされているOracle E-Businessのバージョンに、2019年1月Oracle Critical Patch Update（CPU）がありません。したがって、2019年1月のCritical Patch Updateアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  -Oracle CRM Technical Foundation Messagesコンポーネントが、認証されていない攻撃者によって容易に悪用されます。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。攻撃が成功すると、権限なしに更新、挿入、削除アクセスできるようになります。（CVE-2019-2396）

  -Oracle E-Business SuiteのOracle iStore User Registrationコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle iStoreを改ざんする可能性があります。この攻撃が成功するには、攻撃者以外のユーザーによる関与が必要です。成功すると、Oracle iStoreがアクセスできる重要なデータへの認証されていないアクセスが可能になったり、Oracle iStoreがアクセスできるすべてのデータに完全にアクセスできるようになったりするほか、権限のない更新、挿入、削除アクセスが可能になります。（CVE-2019-2400）

  -Oracle E-Business SuiteのOracle Marketing User Interfaceコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle iStoreを改ざんする可能性があります。この攻撃が成功するには、攻撃者以外のユーザーによる関与が必要です。成功すると、Oracle Marketingがアクセスできる重要なデータへの認証されていないアクセスが可能になったり、Oracle Marketingがアクセスできるすべてのデータに完全にアクセスできるようになったりするほか、権限のない更新、挿入、削除アクセスが可能になります。（CVE-2019-2440） 

  -Oracle E-Business SuiteのOracle Content Manager Cover Letterコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle Content Managerを改ざんする可能性があります。この攻撃が成功するには、攻撃者以外のユーザーによる関与が必要です。成功すると、Oracle Marketingがアクセスできる重要なデータへの認証されていないアクセスが可能になったり、Oracle Content Managerがアクセスできるすべてのデータに完全にアクセスできるようになったりするほか、権限のない更新、挿入、削除アクセスが可能になります。（CVE-2019-2445） 

  -Oracle E-Business SuiteのOracle Partner Management Partner Detailコンポーネントは容易に悪用でき、認証されていない攻撃者がHTTP経由のネットワークアクセスを使用してOracle Partner Managementを改ざんする可能性があります。この攻撃が成功するには、攻撃者以外のユーザーによる関与が必要です。成功すると、Oracle Marketingがアクセスできる重要なデータへの認証されていないアクセスが可能になったり、Oracle Partner Managementがアクセスできるすべてのデータに完全にアクセスできるようになったりするほか、権限のない更新、挿入、削除が可能になります。（CVE-2019-2447）

  -Oracle E-Business SuiteのOracle Performance Management Planコンポーネントは容易に悪用でき、重要なデータに認証されていない作成、削除、修正アクセスができるようになるほか、Oracle Performance Managementがアクセスできるすべてのデータに完全にアクセスできるようになります。（CVE-2019-2453）

  -Oracle E-Business SuiteのOracle Partner Management Partner Detailコンポーネントは容易に悪用でき、認証されていない攻撃者が重要なデータへの未承認のアクセス権限を取得できるほか、Oracle Partner Managementがアクセスできるデータの一部に対して未承認の更新、挿入、削除アクセスができるようになります。（CVE-2019-2470）

  -Oracle Mobile Field Service Administrationコンポーネントは容易に悪用でき、認証されていない攻撃者がデータの更新、挿入、削除を未承認で実行できるようになります。（CVE-2019-2485）   
  -Oracle E-Business SuiteのOracle CRM Technical Foundation Session Managementコンポーネントは容易に悪用でき、認証されていない攻撃者がデータの読み取りアクセスを未承認で取得できます。
    （CVE-2019-2488）

  -Oracle E-Business SuiteのOracle One-to-One Fulfillment OCM Queryコンポーネントは容易に悪用でき、認証されていない攻撃者が重要なデータに承認されていない作成、削除、修正アクセスができるようになるほか、すべてのデータに承認なしでアクセスできるようになります。（CVE-2019-2489）

  -Oracle E-Business SuiteのOracle Email Center Message Displayコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle Email Centerがアクセスできる一部のデータに承認されていない更新、挿入、削除アクセスを実行できるようになります。（CVE-2019-2491）

  -Oracle E-Business SuiteのOracle Email Center Message Displayコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle Email Centerがアクセスできる一部のデータに承認されていない更新、挿入、削除アクセスを実行できるようになります。（CVE-2019-2492）

  -Oracle E-Business SuiteのOracle CRM Technical Foundation Messagesコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle CRM Technical Foundationがアクセスできる一部のデータに承認されていない更新、挿入、削除アクセスを実行できるようになります。（CVE-2019-2496）

  -Oracle E-Business SuiteのOracle CRM Technical Foundation Messagesコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle CRM Technical Foundationがアクセスできる一部のデータに承認されていない更新、挿入、削除アクセスを実行できるようになります。（CVE-2019-2497）

  -Oracle E-Business SuiteのOracle Partner Management Partner Dash boardコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle CRM Technical Foundationがアクセスできる一部のデータに承認されていない更新、挿入、削除アクセスを実行できるようになります。（CVE-2019-2498）

  -Oracle E-Business SuiteのOracle Applications Manager SQL Extensionsコンポーネントは容易に悪用でき、認証されていない攻撃者がOracle CRM Technical Foundationがアクセスできる一部のデータに承認されていない更新、挿入、削除アクセスを実行できるようになります。（CVE-2019-2546）

さらに、Oracle E-Businessはその他の複数の脆弱性の影響も受けます。追加情報については、該当するCVEのCVRFの詳細を参照してください。

注意：Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号のみに依存しています。

検出

Oracle E-Businessの複数の脆弱性（2019年1月CPU）

critical Nessus プラグイン ID 121250

変更ログが見つかりません