リモートホストにインストールされているOracle Business Intelligence Enterprise EditionOAS 7.6.0.0.0 のバージョンは、2026年4月のCPUアドバイザリに記載されているように、複数の脆弱性の影響を受けます。

  - Java ユーティリティを提供するライブラリである mchange-commons-java には、リモートの「factoryClassLocation」値のサポートを含む JNDI 機能の初期実装を反映するコードが含まれており、これによりコードをダウンロードし、実行中のアプリケーション内で呼び出すことができます。攻撃者が、悪意を持って細工された「jaxax.naming.Reference」またはシリアル化されたオブジェクトを読み込むようにアプリケーションを呼び出すことができる場合、悪意のあるコードのダウンロードおよび実行を誘発する可能性があります。JDK 内のこの機能の実装は、「false」、「com.sun.jndi.ldap.object.trustURLCodebase」をデフォルトにするシステムプロパティの背後でデフォルトでは無効になっていました。ただし、mchange-commons-java には JNDI 逆参照の独立した実装が含まれるため、その実装で参照を解決するライブラリc3p0 などは、JDK が強化された後でも、悪意のあるコードをダウンロードして実行するように呼び出されます。
    JDK パッチを反映する mchange-commons-java の JNDI 機能は、バージョン 0.4.0以降の制限的な値をデフォルトにする構成パラメーターによってゲートされます。既知の回避策はありません。 0.4.0 より前のバージョンは、アプリケーション CLASSPATH で回避する必要があります。CVE-2026-27727

  - Eclipseusers 2.28 から 2.33 および Eclipseages 3.0.0 から 3.0.1 に、ローカル情報漏洩の脆弱性が含まれています。これは、権限-rw-r--r--でシステム一時ディレクトリの内部にファイルを作成する File.createTempFile の使用が原因です。そのため、このファイルの内容は、システム上のローカルの他のすべてのユーザーが閲覧できます。そのため、書き込まれたコンテンツがセキュリティ上の秘密である場合、他のローカルユーザーに漏洩される可能性があります。CVE-2021-28168

  - 9.37.2 以前の Connect2id Nimbus JOSE+JWT では、攻撃者が PasswordBasedDecrypter (PBKDF2) コンポーネントの大きな JWE p2c ヘッダー値 (別名、反復カウント) を介してサービス拒否 (リソース消費) を引き起こす可能性があります。(CVE-2023-52428)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Oracle Business Intelligence Enterprise EditionOAS 7.62026 年 4 月 CPU

high Nessus プラグイン ID 309965

バージョン 1.3