リモートの Oracle Linux 6 ホストに、ELSA-2023-12103 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - hsqldb (HyperSQL DataBase) で java.sql.Statement または java.sql.PreparedStatement を使用して信頼できない入力を処理するものは、リモートコード実行攻撃に脆弱な場合があります。デフォルトでは、クラスパス内の任意の Java クラスの任意の静的メソッドを呼び出すことが許可されており、コードが実行されます。この問題を回避するには、2.7.1 に更新するか、システムプロパティ hsqldb.method_class_names を呼び出し可能なクラスに設定します。例えば、System.setProperty (hsqldb.method_class_names、abc) または Java 引数
    - Dhsqldb.method_class_names=abc を使用できます。バージョン 2.7.1 以降、java.lang.Math のクラスを除き、デフォルトではすべてのクラスにアクセスできず、手動で有効にする必要があります。(CVE-2022-41853)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Linux 6 : hsqldb (ELSA-2023-12103)

critical Nessus プラグイン ID 171230

バージョン 1.1

バージョン 1.0

バージョン 1.1 Sep 16, 2023, 2:14 AM Detection Plugin Feed: 202309160214
バージョン 1.0 Feb 9, 2023, 6:12 AM New Plugin Feed: 202302090612