自己報告されたバージョン番号によると、リモートホストで実行されているOracle Primavera Unifierのインストールは、16.2.16.5より前の16.x、17.12.11.7より前の17.x、18.8.18.4より前の18.8.x、19.12.14より前の19.12.x、または20.12.4より前の20.12.xです。したがって、2021年4月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: Core UI（jQuery）。影響を受ける対応バージョンは 16.1、16.2、17.7-17.12、18.8、19.12、20.12 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはPrimavera Unifierですが、攻撃が他の製品に大きな影響を与える可能性があります。
    この脆弱性に対する攻撃が成功すると、権限なしでPrimavera Unifierがアクセスできる一部のデータが更新、挿入、削除されたり、Primavera Unifierがアクセスできるデータのサブセットが権限なしで読み取られたりする可能性があります。（CVE-2020-11022）

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: Core（HTTPクライアント））。影響を受ける対応バージョンは 16.1、16.2、17.7-17.12、18.8、19.12、20.12 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性に対して攻撃が成功すると、Primavera Unifierがアクセスできるいくつかのデータを、権限なしで更新、挿入、または削除可能になります。（CVE-2020-13956）

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: プラットフォーム（Apache Groovy））。影響を受ける対応バージョンは 16.1、16.2、17.7-17.12、18.8、19.12、20.12 です。
    簡単に悪用可能な脆弱性により、権限が低い攻撃者が、Primavera Unifierが実行されているインフラストラクチャにログオンし、Primavera Unifierを危険にさらす可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Primavera Unifierがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。
    （CVE-2020-17521）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Primavera Unifier（2021年4月CPU）

medium Nessus プラグイン ID 148918

バージョン 1.9

バージョン 1.8

バージョン 1.7

バージョン 1.6

バージョン 1.9 Jan 24, 2025, 4:21 PM CISA reference Plugin Feed: 202501241621
バージョン 1.8 Jan 24, 2025, 8:50 AM CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:F/RL:OF/RC:C") CVSS temporal metrics ("CVSSv3 temporal vector" set to "CVSS:3.0/E:F/RL:O/RC:C") Plugin Feed: 202501240850
バージョン 1.7 Oct 24, 2023, 4:27 PM IAVM reference Plugin Feed: 202310241627
バージョン 1.6 Dec 6, 2022, 1:01 AM Reference Plugin Feed: 202212060101