Oracle WebLogic Server (2024 年 4 月 CPU)

critical Nessus プラグイン ID 193425

概要

リモートホストは、複数の脆弱性の影響を受けます

説明

リモートホストにインストールされている WebLogic Server のバージョン 12.2.1.4.0、14.1.1.0.0 は、2024 年 4 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: サンプル (handlebars))。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogic サーバーの乗っ取りが発生する可能性があります。(CVE-2021-23369)

- Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: 一元化されたサードパーティ Jars (Bouncy Castle Java Library))。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle WebLogic サーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Server がアクセスできるデータのサブセットが、権限なしで読み取りアクセスされる可能性があります。(CVE-2023-2976)

- Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Web コンテナ)。サポートされているバージョンで影響を受けるのは 14.1.1.0.0です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP/2 を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく Oracle WebLogic Server をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2023-44487)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

2024 年 4 月の Oracle Critical Patch Update アドバイザリに従い、適切なパッチを適用してください。

参考資料

https://www.oracle.com/docs/tech/security-alerts/cpuapr2024csaf.json

https://www.oracle.com/security-alerts/cpuapr2024.html

プラグインの詳細

深刻度: Critical

ID: 193425

ファイル名: oracle_weblogic_server_cpu_apr_2024.nasl

バージョン: 1.5

タイプ: local

エージェント: windows, macosx, unix

ファミリー: Misc.

公開日: 2024/4/17

更新日: 2024/6/28

設定: 徹底したチェックを有効にする

サポートされているセンサー: Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: Critical

基本値: 10

現状値: 8.3

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS スコアのソース: CVE-2021-23369

CVSS v3

リスクファクター: Critical

基本値: 9.8

現状値: 9.1

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C

CVSS スコアのソース: CVE-2021-23383

脆弱性情報

CPE: cpe:/a:oracle:weblogic_server, cpe:/a:oracle:fusion_middleware

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2024/4/16

脆弱性公開日: 2024/4/16

CISA の既知の悪用された脆弱性の期限日: 2023/10/31

参照情報

CVE: CVE-2021-23369, CVE-2021-23383, CVE-2022-23491, CVE-2023-2976, CVE-2023-33201, CVE-2023-33202, CVE-2023-44487, CVE-2023-5072, CVE-2023-52428, CVE-2024-21006, CVE-2024-21007, CVE-2024-23635, CVE-2024-25710, CVE-2024-26308

IAVA: 2024-A-0237