深刻度

テーマ

Oracle Enterprise Manager Cloud Control (2022 年 4 月 CPU)

critical Nessus プラグイン ID 160377

言語:

概要

リモートホストは、複数の脆弱性の影響を受けます

説明

リモートホストにインストールされている Enterprise Manager Base Platform のバージョン 13.4.0.0 および 13.5.0.0 は、2022 年 4 月 22 日の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

- Enterprise Manager Base Platform の Oracle Management Service コンポーネント (Apache Log4j) の脆弱性。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Enterprise Manager Base Platform を侵害して乗っ取る可能性があります。(CVE-2022-23305)

- Enterprise Manager Base Platform の Enterprise Manager Install コンポーネント (libxml2) における脆弱性。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Enterprise Manager Base Platform を侵害して乗っ取る可能性があります。(CVE-2021-3518)

- Enterprise Manager Base Platform の Enterprise Manager Install コンポーネント (Apache Log4j) における脆弱性。悪用が難しい脆弱性ですが、権限の高い攻撃者が HTTP を介してネットワークにアクセスし、Enterprise Manager Base Platform を侵害して乗っ取る可能性があります。(CVE-2021-44832)

- Enterprise Manager Base Platform の UI Framework コンポーネントにおける脆弱性。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Enterprise Manager Base Platform を侵害する可能性があります。攻撃が成功するには、攻撃者以外の人物の関与が必要であり、この脆弱性が Enterprise Manager Base Platform に存在する間は、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性に対する攻撃が成功すると、Enterprise Manager Base Platform がアクセスできる一部のデータが、権限なしで更新、挿入または削除される可能性があります。(CVE-2022-21469)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

April 2022 Oracle Critical Patch Updateアドバイザリに従い、適切なパッチを適用してください。

プラグインの詳細

深刻度: Critical

ID: 160377

ファイル名: oracle_enterprise_manager_cpu_apr_2022.nasl

バージョン: 1.3

タイプ: local

エージェント: windows, macosx, unix

ファミリー: Misc.

公開日: 2022/4/29

更新日: 2022/5/2

サポートされているセンサー: Nessus Agent

リスク情報

VPR

リスクファクター: Critical

スコア: 9.2

CVSS v2

リスクファクター: Medium

Base Score: 6.8

Temporal Score: 5

ベクトル: AV:N/AC:M/Au:N/C:P/I:P/A:P

現状ベクトル: E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2022-23305

CVSS v3

リスクファクター: Critical

Base Score: 9.8

Temporal Score: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:oracle:enterprise_manager

必要な KB アイテム: installed_sw/Oracle Enterprise Manager Cloud Control

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2022/4/19

脆弱性公開日: 2022/4/19

参照情報

CVE: CVE-2021-3518, CVE-2021-44832, CVE-2022-21469, CVE-2022-23305

IAVA: 2021-A-0573