Oracle Primavera Unifierの複数の脆弱性（2020年1月CPU）
critical Nessus プラグイン ID 133359
Language:
概要
リモートのWebサーバーで実行されているアプリケーションは、複数の脆弱性の影響を受けます。説明
自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているOracle Primavera Unifierのインストールは、16.1.x、16.2.16.0より前の16.2.x、17.7.xから17.12.11.2より前の17.12.x、18.8.15より前の18.8.x、19.12.0.1より前の19.12.xです。したがって、複数の脆弱性の影響を受けます。- Primavera Unifierで使用される2.9.10より前のFasterXML jackson-databindに多態的タイピング問題が見つかりました。（CVE-2019-14540）- Primavera Unifierで使用されるApache TikaのRecursiveParserWrapperバージョン1.7 - 1.21にメモリ枯渇の欠陥があります。（CVE-2019-10088）- 最終リリースが2006年のApache Axis 1.4ディストリビューションはサーバーサイドリクエスト偽造（SSRF）の脆弱性の影響を受けます。セキュリティとバグのコミットがプロジェクトのAxis 1.x Subversionリポジトリに引き続きあるため、使用を継続しているユーザーはソースから構築することが推奨されます。Axis 1.xの後継はAxis2であり、最新バージョンの1.7.9はこの問題に対して脆弱ではありません。（CVE-2019-0227）注意：Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。ソリューション
Oracle Primavera Unifierバージョン16.2.16.0/17.12.11.2/18.8.15/19.12.0.1以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: Critical
ID: 133359
ファイル名: oracle_primavera_unifier_cpu_jan_2020.nasl
バージョン: 1.7
タイプ: remote
ファミリー: CGI abuses
公開日: 2020/1/30
更新日: 2024/3/28
設定: 徹底したチェックを有効にする
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.4
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 5.9
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2019-16335
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:oracle:primavera_unifier
必要な KB アイテム: installed_sw/Oracle Primavera Unifier, www/weblogic
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2020/1/14
脆弱性公開日: 2020/1/14
参照情報
CVE: CVE-2014-3596, CVE-2018-8032, CVE-2019-0227, CVE-2019-10088, CVE-2019-10093, CVE-2019-10094, CVE-2019-12415, CVE-2019-14540, CVE-2019-16335
BID: 107867
IAVA: 2020-A-0140