自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているOracle Primavera Unifierのインストールは、16.1.x、16.2.16.2より前の16.2.x、17.7.xから17.12.11.4より前の17.12.x、18.8.17より前の18.8.x、19.12.7より前の19.12.xです。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: プラットフォーム（jackson-databind））。サポートされているバージョンで影響を受けるのは、16.1、 16.2、 17.7-17.12、 18.8、および 19.12 です。
    容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Unifier の乗っ取りが発生する可能性があります。（CVE-2020-9546）

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: Core（Apache Ant））。サポートされているバージョンで影響を受けるのは、16.1、 16.2、 17.7-17.12、 18.8、および 19.12 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Primavera Unifier がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Primavera Unifier がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります（CVE-2020-1945）。

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: Mobile App）。影響を受けるサポート対象のバージョンは、20.6より前です。悪用が難しい脆弱性ですが、認証されていない攻撃者が HTTPS を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、重要なデータへの不正アクセス、Primavera Unifier がアクセスできるデータへのフルアクセス、Primavera Unifier がアクセスできる一部のデータへの権限のない更新、アクセスの挿入または削除が引き起こされる可能性があります。
    （CVE-2020-14618）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Primavera Unifier の複数の脆弱性（2019 年 7 月 CPU）

critical Nessus プラグイン ID 138508

バージョン 1.6