Oracle Fusion Middleware Oracle HTTP Server（2020年4月CPU）
high Nessus プラグイン ID 135677
Language:
概要
リモートホストは、複数の脆弱性の影響を受けます説明
リモートホストにインストールされているOracle HTTP Serverのバージョンは、2020年4月CPUアドバイザリに記載されている次の脆弱性の影響を受けます。- Oracle HTTP ServerのWeb Listenerコンポーネントで使用されている、2.9.5より前のlibxml2のxmlmemory.cで整数オーバーフローがあります。これにより、リモート攻撃者が細工されたXMLファイルを介して、ヒープ破損を悪用する可能性があります。
（CVE-2017-5130）
- Oracle HTTP ServerのWeb Listenerコンポーネントにおける、容易に悪用できる脆弱性が、サポートされているバージョン11.1.1.9.0に影響を与えます。HTTP経由でネットワークにアクセスできる認証されていないリモート攻撃者がこれを悪用し、Oracle HTTP Serverを侵害する可能性があります。これにより、アクセス可能な一部のOracle HTTP Serverのデータに不正な更新、挿入、削除アクセスが行われたり、アクセス可能なOracle HTTP Serverのサブセットに不正な読み取りアクセスが行われたりする可能性があります。（CVE-2020-2952）
Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
2020年4月のOracle Critical Patch Updateアドバイザリに従い、適切なパッチを適用してください。参考資料
プラグインの詳細
深刻度: High
ID: 135677
ファイル名: oracle_http_server_cpu_apr_2020.nasl
バージョン: 1.4
タイプ: local
ファミリー: Web Servers
公開日: 2020/4/16
更新日: 2022/4/11
設定: 徹底したチェックを有効にする
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2017-5130
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:oracle:fusion_middleware, cpe:/a:oracle:http_server
必要な KB アイテム: Oracle/OHS/Installed
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2020/4/14
脆弱性公開日: 2020/4/14
参照情報
CVE: CVE-2017-5130, CVE-2020-2952
BID: 101482
IAVA: 2020-A-0153