リモートホストは、Oracle アプリケーションサーバーを実行しています。バージョンを判断することは不可能でした。そのため、リモートホストにインストールされている Oracle Application Server のバージョンは、複数の脆弱性の影響を受ける可能性があります：

- CVE-2000-0169：Web リスナーコンポーネントにおける、リモートコマンドの実行。

- CVE-2000-1235：ポートリスナーコンポーネントおよび modplsql における情報漏洩。

- CVE-2000-1236：mod_sql の SQL インジェクション。

- CVE-2001-0326：Java 仮想マシンの情報漏洩。

- CVE-2001-0419：ndwfn4.so のバッファオーバーフロー。

- CVE-2001-0591：ディレクトリトラバーサル。

- CVE-2001-1216：PL/SQL Apache モジュールのバッファオーバーフロー。

- CVE-2001-1217：PL/SQL Apache モジュールのディレクトリトラバーサルの脆弱性。

- CVE-2001-1371：SOAP サービスの不適切なアクセスコントロール。

- CVE-2001-1372：情報漏洩。

- CVE-2002-0386：Oracle Web Cache の管理モジュールによるサービス拒否。

- CVE-2002-0559：PL/SQL モジュールのバッファオーバーフロー。

- CVE-2002-0560：PL/SQL モジュールの情報漏洩。

- CVE-2002-0561：PL/SQL ゲートウェイ Web 管理インターフェイスにおける認証バイパス。

- CVE-2002-0562：globals.jsa による情報漏洩。

- CVE-2002-0563：複数のサービスにおける不適切なアクセスコントロール。

- CVE-2002-0564：PL/SQL モジュールの認証バイパス。

- CVE-2002-0565：_pages ディレクトリの JSP ファイルによる情報漏洩。

- CVE-2002-0566：PL/SQL モジュールのサービス拒否。

- CVE-2002-0568：XSQLConfig.xml および soapConfig.xml における不適切なアクセスコントロール。

- CVE-2002-0569：XSQLServlet による認証バイパス。

- CVE-2002-0655：OpenSSL のサービス拒否。

- CVE-2002-0656：OpenSSL のバッファオーバーフロー。

- CVE-2002-0659：OpenSSL のサービス拒否。

- CVE-2002-0840：Apache のデフォルトエラーページのクロスサイトスクリプティング。

- CVE-2002-0842：mod_dav における書式文字列の脆弱性。

- CVE-2002-0843：ApacheBench のバッファオーバーフロー。

- CVE-2002-0947：rwcgi60 のバッファオーバーフロー。

- CVE-2002-1089：rwcgi60 の情報漏洩。

- CVE-2002-1630：sendmail.jsp における不適切なアクセスコントロール。

- CVE-2002-1631：query.xsql の SQL インジェクション。

- CVE-2002-1632：複数の JSP ページによる情報漏洩。

- CVE-2002-1635：Apache の情報漏洩。

- CVE-2002-1636：htp PL/SQL パッケージのクロスサイトスクリプティング。

- CVE-2002-1637：複数のコンポーネントのデフォルト認証情報。

- CVE-2002-1858：WEB-INF ディレクトリによる情報漏洩。

- CVE-2002-2153：PL/SQL モジュールの管理者ページにおける書式文字列の脆弱性。

- CVE-2002-2345：Web キャッシュ管理者インターフェイスにおける認証情報の漏洩。

- CVE-2002-2347：複数の JSP ページのクロスサイトスクリプティング。

- CVE-2004-1362：PL/SQL モジュールの認証バイパス。

- CVE-2004-1363：extproc のバッファオーバーフロー。

- CVE-2004-1364：extproc のディレクトリトラバーサル。

- CVE-2004-1365：extrpoc のコマンド実行。

- CVE-2004-1366：emoms.properties における不適切なアクセスコントロール。

- CVE-2004-1367：データベースサーバーの認証情報漏洩。

- CVE-2004-1368：ISQL*Plus における任意のファイルの実行。

- CVE-2004-1369：TNS Listener のサービス拒否。

- CVE-2004-1370：PL/SQL における複数の SQL インジェクションの脆弱性。

- CVE-2004-1371：スタックベースのバッファオーバーフロー。

- CVE-2004-1707：dbsnmp および nmo における権限昇格。

- CVE-2004-1774：MD2 パッケージのバッファオーバーフロー。

- CVE-2004-1877：Single Sign-On コンポーネントにおけるフィッシングの脆弱性。

- CVE-2004-2134：toplink マッピング workBench のパスワードの脆弱な暗号。

- CVE-2004-2244：XML パーサーのサービス拒否。

- CVE-2005-1383：HTTP Server における認証バイパス。

- CVE-2005-1495：検出バイパス。

- CVE-2005-1496：DBMS_Scheduler の権限昇格。

- CVE-2005-2093：Web キャッシュポイズニング。

- CVE-2005-3204：クロスサイトスクリプティング。

- CVE-2005-3445：HTTP サーバーにある特定されない複数の脆弱性。

- CVE-2005-3446：Internet Directory の詳細不明な脆弱性。

- CVE-2005-3447：シングルサインオンにある特定されない脆弱性。

- CVE-2005-3448：OC4J モジュールの詳細不明な脆弱性。

- CVE-2005-3449：複数のコンポーネントにおける複数の詳細不明な脆弱性。

- CVE-2005-3450：HTTP サーバーにある特定されない脆弱性。

- CVE-2005-3451：SQL*ReportWriter の詳細不明な脆弱性。

- CVE-2005-3452：Web キャッシュの詳細不明な脆弱性。

- CVE-2005-3453：Web キャッシュにおける複数の詳細不明な脆弱性。

- CVE-2006-0273：Portal コンポーネントにある特定されない脆弱性。

- CVE-2006-0274：Oracle Reports Developer コンポーネントにある特定されない脆弱性。

- CVE-2006-0275：Oracle Reports Developer コンポーネントにある特定されない脆弱性。

- CVE-2006-0282：特定されない脆弱性。

- CVE-2006-0283：特定されない脆弱性。

- CVE-2006-0284：特定されない複数の脆弱性。

- CVE-2006-0285：Java Net コンポーネントにおける詳細不明な脆弱性。

- CVE-2006-0286：HTTP サーバーにある特定されない脆弱性。

- CVE-2006-0287：HTTP サーバーにある特定されない脆弱性。

- CVE-2006-0288：Oracle Reports Developer コンポーネントにおける複数の詳細不明な脆弱性。

- CVE-2006-0289：特定されない複数の脆弱性。

- CVE-2006-0290：Oracle Workflow Cartridge コンポーネントにおける詳細不明な脆弱性。

- CVE-2006-0291：Oracle Workflow Cartridge コンポーネントにおける複数の詳細不明な脆弱性。

- CVE-2006-0435：Oracle PL/SQL の詳細不明な脆弱性。

- CVE-2006-0552：Net Listener コンポーネントの詳細不明な脆弱性。

- CVE-2006-0586：複数の SQL インジェクションの脆弱性。

- CVE-2006-1884：Oracle Thesaurus Management System コンポーネントの詳細不明な脆弱性。

- CVE-2006-3706：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-3707：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-3708：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-3709：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-3710：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-3711：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-3712：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-3713：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-3714：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-5353：HTTP サーバーにある特定されない脆弱性。

- CVE-2006-5354：HTTP サーバーにある特定されない脆弱性。

- CVE-2006-5355：シングルサインオンにある特定されない脆弱性。

- CVE-2006-5356：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-5357：HTTP サーバーにある特定されない脆弱性。

- CVE-2006-5358：Oracle Forms コンポーネントの詳細不明な脆弱性。

- CVE-2006-5359：Oracle Reports Developer コンポーネントにおける複数の詳細不明な脆弱性。

- CVE-2006-5360：Oracle Forms コンポーネントの詳細不明な脆弱性。

- CVE-2006-5361：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-5362：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-5363：シングルサインオンにある特定されない脆弱性。

- CVE-2006-5364：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2006-5365：Oracle Forms の詳細不明な脆弱性。

- CVE-2006-5366：特定されない複数の脆弱性。

- CVE-2007-0222：EmChartBean のディレクトリトラバーサルの脆弱性。

- CVE-2007-0275：Oracle Report Web Cartidge のクロスサイトスクリプティングの脆弱性（RWCGI60）。

- CVE-2007-0280：Oracle Notification Service のバッファオーバーフロー。

- CVE-2007-0281：HTTP サーバーにある特定されない複数の脆弱性。

- CVE-2007-0282：OPMN02 の詳細不明な脆弱性。

- CVE-2007-0283：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2007-0284：Oracle Containers for J2EE にある特定されない複数の脆弱性。

- CVE-2007-0285：Oracle Reports Developer の詳細不明な脆弱性。

- CVE-2007-0286：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2007-0287：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2007-0288：Oracle Internet Directory の詳細不明な脆弱性。

- CVE-2007-0289：Oracle Containers for J2EE にある特定されない複数の脆弱性。

- CVE-2007-1359：mod_security における不適切なアクセスコントロール。

- CVE-2007-1609：Dynamic Monitoring Services（DMS）の servlet/Spy におけるクロスサイトスクリプティングの脆弱性。

- CVE-2007-2119：Administration Front End for Oracle Enterprise（Ultra）Search におけるクロスサイトスクリプティングの脆弱性。

- CVE-2007-2120：Oracle Discoverer サーブレットのサービス拒否。

- CVE-2007-2121：COREid Access コンポーネントの詳細不明な脆弱性。

- CVE-2007-2122：Wireless コンポーネントの詳細不明な脆弱性。

- CVE-2007-2123：Portal コンポーネントにある特定されない脆弱性。

- CVE-2007-2124：Portal コンポーネントにある特定されない脆弱性。

- CVE-2007-2130：Workflow Cartridge の詳細不明な脆弱性。

- CVE-2007-3553：Rapid Install Web Server におけるクロスサイトスクリプティングの脆弱性。

- CVE-2007-3854：Advanced Queuing コンポーネントおよび Spatial コンポーネントにおける複数の詳細不明な脆弱性。

- CVE-2007-3859：Oracle Internet Directory コンポーネントにある特定されない脆弱性。

- CVE-2007-3861：Oracle Jdeveloper の詳細不明な脆弱性。

- CVE-2007-3862：シングルサインオンにある特定されない脆弱性。

- CVE-2007-3863：Oracle JDeveloper の詳細不明な脆弱性。

- CVE-2007-5516：Process Mgmt & Notification コンポーネントの詳細不明な脆弱性。

- CVE-2007-5517：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2007-5518：HTTP サーバーにある特定されない脆弱性。

- CVE-2007-5519：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2007-5520：Oracle Internet Directory コンポーネントにある特定されない脆弱性。

- CVE-2007-5521：Oracle Containers for J2EE にある特定されない脆弱性。

- CVE-2007-5522：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2007-5523：Oracle Internet Directory コンポーネントにある特定されない脆弱性。

- CVE-2007-5524：シングルサインオンにある特定されない脆弱性。

- CVE-2007-5525：シングルサインオンにある特定されない脆弱性。

- CVE-2007-5526：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2007-5531：Oracle Help for Web の詳細不明な脆弱性。

- CVE-2008-0340：Advanced Queuing コンポーネントおよび Spatial コンポーネントにおける複数の詳細不明な脆弱性。

- CVE-2008-0343：Oracle Spatial コンポーネントにある特定されない脆弱性。

- CVE-2008-0344：Oracle Spatial コンポーネントにある特定されない脆弱性。

- CVE-2008-0345：Core RDBMS コンポーネントの詳細不明な脆弱性。

- CVE-2008-0346：Oracle Jinitiator コンポーネントにある特定されない脆弱性。

- CVE-2008-0347：Oracle Ultra Search コンポーネントの詳細不明な脆弱性。

- CVE-2008-0348：PeopleTools コンポーネントにおける複数の詳細不明な脆弱性。

- CVE-2008-0349：PeopleTools コンポーネントの詳細不明な脆弱性。

- CVE-2008-1812：Oracle Enterprise Manager コンポーネントの詳細不明な脆弱性。

- CVE-2008-1814：Oracle Secure Enterprise Search または Ultrasearch コンポーネントにおける詳細不明な脆弱性。

- CVE-2008-1823：Oracle Jinitiator コンポーネントにある特定されない脆弱性。

- CVE-2008-1824：Oracle Dynamic Monitoring Service コンポーネントの詳細不明な脆弱性。

- CVE-2008-1825：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2008-2583：Oracle Portal コンポーネント用のサンプル Discussion Forum Portlet における詳細不明な脆弱性。

- CVE-2008-2588：Oracle JDeveloper コンポーネントにある特定されない脆弱性。

- CVE-2008-2589：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2008-2593：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2008-2594：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2008-2595：Oracle Internet Directory コンポーネントにある特定されない脆弱性。

- CVE-2008-2609：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2008-2612：Hyperion BI Pus コンポーネントの詳細不明な脆弱性。

- CVE-2008-2614：HTTP サーバーにある特定されない脆弱性。

- CVE-2008-2619：Oracle Reports Developer コンポーネントにある特定されない脆弱性。

- CVE-2008-2623：Oracle JDeveloper コンポーネントにある特定されない脆弱性。

- CVE-2008-3975：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2008-3977：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2008-3986：Oracle Discoverer Administrator コンポーネントの詳細不明な脆弱性。

- CVE-2008-3987：Oracle Discoverer Desktop コンポーネントの詳細不明な脆弱性。

- CVE-2008-4014：Oracle BPEL Process Manager コンポーネントにある特定されない脆弱性。

- CVE-2008-4017：OC4J コンポーネントの詳細不明な脆弱性。

- CVE-2008-5438：Oracle Portal コンポーネントにある特定されない脆弱性。

- CVE-2008-7233：Oracle Jinitiator コンポーネントにある特定されない脆弱性。

- CVE-2009-0217：複数のコンポーネントにおける署名スプーフィングの脆弱性。

- CVE-2009-0989：BI Publisher コンポーネントにある特定されない脆弱性。

- CVE-2009-0990：BI Publisher コンポーネントにある特定されない脆弱性。

- CVE-2009-0994：BI Publisher コンポーネントにある特定されない脆弱性。

- CVE-2009-1008：Outside In Technology コンポーネントにある特定されない脆弱性。

- CVE-2009-1009：Outside In Technology コンポーネントにある特定されない脆弱性。

- CVE-2009-1010：Outside In Technology コンポーネントにある特定されない脆弱性。

- CVE-2009-1011：Outside In Technology コンポーネントにある特定されない脆弱性。

- CVE-2009-1017：BI Publisher コンポーネントにある特定されない脆弱性。

- CVE-2009-1976：HTTP サーバーにある特定されない脆弱性。

- CVE-2009-1990：Business Intelligence Enterprise Edition コンポーネントにある特定されない脆弱性。

- CVE-2009-1999：Business Intelligence Enterprise Edition コンポーネントにある特定されない脆弱性。

- CVE-2009-3407：Portal コンポーネントにある特定されない脆弱性。

- CVE-2009-3412：Unzip コンポーネントの詳細不明な脆弱性。

- CVE-2010-0066：Access Manager Identity Server コンポーネントの詳細不明な脆弱性。

- CVE-2010-0067：Oracle Containers for J2EE コンポーネントにある特定されない脆弱性。

- CVE-2010-0070：Oracle Containers for J2EE コンポーネントにある特定されない脆弱性。

- CVE-2011-0789：HTTP サーバーにある特定されない脆弱性。

- CVE-2011-0795：シングルサインオンにある特定されない脆弱性。

- CVE-2011-0884：Oracle BPEL Process Manager コンポーネントにある特定されない脆弱性。

- CVE-2011-2237：Oracle Web Services Manager コンポーネントにある特定されない脆弱性。

- CVE-2011-2314：Oracle Containers for J2EE コンポーネントにある特定されない脆弱性。

- CVE-2011-3523：Oracle Web Services Manager コンポーネントにある特定されない脆弱性。

Oracle 9iAS により、リモート攻撃者は、存在しない .jsp ファイルに対するリクエストを介して、サーバー root  下のファイルの物理パスを取得できます。
生成されたデフォルトエラーにより、エラーメッセージのパス名が漏洩します。

存在しないページを要求されると、リモート Web サーバーは webroot の物理パスを明らかにします。

出力にエラーをプリントするのはデバッグアプリケーションにとって有用ですが、この機能は、プロダクションサーバーでは無効にする必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
57619	Oracle Application Server の複数の脆弱性	Nessus	Web Servers	2012/1/24	2019/4/5	critical
11226	Oracle 9iAS の存在しない .jsp ファイルのリクエストエラーメッセージパスの漏洩	Nessus	Databases	2003/2/11	2022/4/11	medium
11714	存在しないページ（404）による物理パスの漏洩	Nessus	Web Servers	2003/6/11	2018/6/27	medium

検出

プラグインの検索

critical

medium

medium