リモートホストにインストールされている Oracle E-Business Suite のバージョンは、2023 年 7 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle E-Business Suite の Oracle Web Applications Desktop Integrator 製品の脆弱性 (コンポーネント: MS Excel 固有)。サポートされているバージョンで影響を受けるのは、12.2.3-12.2.12 です。容易に悪用可能な脆弱性があり、権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle Web Applications Desktop Integrator を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのは Oracle Web Applications Desktop Integrator ですが、攻撃が他の製品に大きな影響を与える可能性があります(範囲変更)。この脆弱性に対する攻撃が成功すると、Oracle Web Applications Desktop Integrator がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があるほか、Oracle Web Applications Desktop Integrator がアクセスできるデータのサブセットに権限なしで読み取りアクセスが行われたり、権限なしで Oracle Web Applications Desktop Integrator の部分的なサービス拒否 (部分的な DOS) を引き起こすことができるようになったりする可能性があります。(CVE-2023-22037)

  - Oracle E-Business Suite の Oracle Applications Framework 製品の脆弱性 (コンポーネント: 
    Diagnostics)。サポートされているバージョンで影響を受けるのは、12.2.3-12.3.12 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle Applications Frameworkを侵害する可能性があります。
    攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのは Oracle Applications Framework ですが、攻撃が他の製品に大きな影響を与える可能性があります。(範囲変更) この脆弱性に対する攻撃が成功すると、Oracle Applications Framework がアクセスできる一部のデータに不正な更新、挿入、削除アクセスが行われたり、さらに Oracle Applications Framework がアクセスできるデータのサブセットに不正な読み取りアクセスが行われたりする可能性があります。(CVE-2023-22042)

  - Oracle E-Business SuiteのOracle Scripting製品における脆弱性 (コンポーネント：iSurvey Module)。
    サポートされているバージョンで影響を受けるのは、12.2.3-12.2.12 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle Scriptingを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのは Oracle Scripting ですが、攻撃が他の製品に大きな影響を与える可能性があります (範囲変更)。この脆弱性による攻撃が成功すると、権限のない更新、Oracle Scripting がアクセスできるデータへのアクセスの挿入、削除ならびに Oracle Scripting がアクセスできるデータのサブセットへの権限のない読み取りアクセスが可能になります。
    (CVE-2023-220350)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Oracle E-Business Suite (2023 年 7 月 CPU)

medium Nessus プラグイン ID 178615

バージョン 1.3

バージョン 1.2

バージョン 1.2

バージョン 1.1

バージョン 1.0

バージョン 1.3 Oct 21, 2023, 3:09 AM IAVM reference Plugin Feed: 202310210309
バージョン 1.2 Jul 21, 2023, 10:05 AM IAVM reference STIG Severity (set to "I") Plugin Feed: 202307211005
バージョン 1.2 Oct 21, 2023, 1:17 AM IAVM reference Plugin Feed: 202310210117
バージョン 1.1 Jul 20, 2023, 4:15 PM Exploit attributes ("Exploit available" set to "False". "Exploitability ease" set to "No known exploits are available") CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:U/RL:OF/RC:C". "CVSSv3 temporal vector" set to "CVSS:3.0/E:U/RL:O/RC:C") CVSS metrics ("CVSSv2 score" changed from 6.0 to 6.5. "CVSSv2 vector" changed from "CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P" to "CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P") Plugin Feed: 202307201615
バージョン 1.0 Jul 20, 2023, 10:03 AM New Plugin Feed: 202307201003