Oracle Primavera Gatewayの複数の脆弱性（2020年1月CPU）

critical Nessus プラグイン ID 132936

Language:

概要

リモートのWebサーバーで実行されているアプリケーションは、複数の脆弱性の影響を受けます。

説明

自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているOracle Primavera Gatewayのインストールは、15.2.18より前の15.x、16.2.11より前の16.x、17.12.6より前の17.x、または18.8.8.1より前の18.xです。したがって、次を含む複数の脆弱性の影響を受けます。- com.zaxxer.hikari.HikariDataSourceに関連するFasterXML jackson-databindに2つの多態的タイピング問題があり、リモートの認証されていない攻撃者が悪用する可能性があります。（（CVE-2019-16335、CVE-2019-14540）- Apache AxisのgetCN関数が、サーバーのホスト名がサブジェクトの共通名（CN）のドメイン名と一致すること、またはX.509証明書のsubjectAltNameフィールドと一致することを適切に検証しないため、中間者の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、CNフィールドではないフィールドの共通名を指定するサブジェクトを持つ証明書を使用して、SSLサーバーになりすます可能性があります。（CVE-2014-3596）- 認証されていないリモートの攻撃者が悪用する可能性のある、Apache Axisのサーバーサイドリクエストフォージェリ（SSRF）の脆弱性。（CVE-2019-0227）注意：Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号のみに依存しています。