Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Commons Net 3.9.0 より前は、Net の FTP クライアントはデフォルトで PASV 応答のホストを信頼していました。悪意のあるサーバーが別のホストを使用するように Commons Net コードをリダイレクトする可能性がありますが、ユーザーはまず悪意のあるサーバーに接続する必要があります。このため、クライアントのプライベートネットワークで実行されているサービスに関する情報が漏洩する可能性があります。cURL と同様に、このようなホストを無視するために、バージョン 3.9.0 のデフォルトが false になりました。https://issues.apache.org/jira/browse/NET-711 を参照してください。(CVE-2021-37533)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 18.04 LTS / 20.04LTS / 22.04LTS / 22.10 ホストには、USN-6037-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Commons Net 3.9.0 より前は、Net の FTP クライアントはデフォルトで PASV 応答のホストを信頼していました。悪意のあるサーバーが別のホストを使用するように Commons Net コードをリダイレクトする可能性がありますが、ユーザーはまず悪意のあるサーバーに接続する必要があります。このため、クライアントのプライベートネットワークで実行されているサービスに関する情報が漏洩する可能性があります。cURL と同様に、このようなホストを無視するために、バージョン 3.9.0 のデフォルトが false になりました。https://issues.apache.org/jira/browse/NET-711 を参照してください。(CVE-2021-37533)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Oracle Business Intelligence Enterprise Edition (OAS) の 6.4.0.0.0 および 7.0.0.0 バージョンは、2023 年 7 月の CPU アドバイザリに記載されている脆弱性の影響を受けます。 

  - Oracle Analytics の Oracle Business Intelligence Enterprise Edition 製品の脆弱性 (コンポーネント: Analytics Server (Apache Hive))。サポートされているバージョンで影響を受けるのは、6.4.0.0.0、7.0.0.0.0、12.2.1.4.0 です。容易に悪用可能な脆弱性があることにより、ネットワークにアクセスできる認証されていない攻撃者が、HTTP 経由で Oracle Business Intelligence Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Business Intelligence Enterprise Edition がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Oracle Business Intelligence Enterprise Edition がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。
    (CVE-2018-1282)

  - Oracle Analytics の Oracle Business Intelligence Enterprise Edition 製品の脆弱性 (コンポーネント: Visual Analyzer (jackson-databind))。サポートされているバージョンで影響を受けるのは、6.4.0.0.0 および 7.0.0.0.0です。容易に悪用可能な脆弱性があることにより、ネットワークにアクセスできる認証されていない攻撃者が、HTTP 経由で Oracle Business Intelligence Enterprise Edition を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Business Intelligence Enterprise Edition をハングさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりする可能性があります。(CVE-2022-33980)

  - Oracle Analytics の Oracle Business Intelligence Enterprise Edition 製品の脆弱性 (コンポーネント: Visual Analyzer (CKEditor))。サポートされているバージョンで影響を受けるのは、6.4.0.0.0 および 7.0.0.0.0です。容易に悪用可能な脆弱性があることにより、ネットワークにアクセスできる認証されていない攻撃者が、HTTP 経由で Oracle Business Intelligence Enterprise Edition を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性があるのは Oracle Business Intelligence Enterprise Edition ですが、攻撃が他の製品に大きな影響を与える可能性があります (範囲変更)。この脆弱性による攻撃が成功すると、権限のない更新、Oracle Business Intelligence Enterprise Edition がアクセスできるデータへのアクセスの挿入、削除ならびに Oracle Business Intelligence Enterprise Edition がアクセスできるデータのサブセットへの権限のない読み取りアクセスが可能になります。(CVE-2023-28439)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 10 ホストには、dla-3251 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Commons Net 3.9.0 より前は、Net の FTP クライアントはデフォルトで PASV 応答のホストを信頼していました。悪意のあるサーバーが別のホストを使用するように Commons Net コードをリダイレクトする可能性がありますが、ユーザーはまず悪意のあるサーバーに接続する必要があります。このため、クライアントのプライベートネットワークで実行されているサービスに関する情報が漏洩する可能性があります。cURL と同様に、このようなホストを無視するために、バージョン 3.9.0 のデフォルトが false になりました。 https://issues.apache.org/jira/browse/NET-711 を参照してください。(CVE-2021-37533)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている IBM Engineering Requirements Management DOORS (旧 IBM Rational DOORS) のバージョンは、9.7.2.8 より前の 9.7.2.x です。したがって、7124058 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.9.1 より前の Apache Shiro、RegexRequestMatcher が誤って構成され、一部のサーブレットコンテナでバイパスされる可能性があります。正規表現で「.」を持つ RegExPatternMatcher を使用するアプリケーションは、認証バイパスに対して脆弱である可能性があります。(CVE-2022-32532)

  - Java OpenWire プロトコルマーシャラーは、リモートコード実行の脆弱性があります。この脆弱性により、Java ベースの OpenWire ブローカーまたはクライアントにネットワークアクセス権があるリモートの攻撃者が、OpenWire プロトコルのシリアル化されたクラスタイプを操作してクライアントまたはブローカーに (それぞれ) クラスパス上の任意のクラスをインスタンス化させることで、任意のシェルコマンドを実行する可能性があります。ユーザーには、ブローカーとクライアントの両方を、この問題を修正したバージョンであるバージョン 5.15.16、5.16.7、5.17.6、または 5.18.3 にアップグレードすることをお勧めします。
    (CVE-2023-46604)

  - 2.13.9 の前の Scala 2.13.x は、JAR ファイルに Java 逆シリアル化チェーンがあります。単独では悪用できません。アプリケーション内の Java オブジェクト逆シリアル化に関連するリスクのみがあります。このような状況では、攻撃者がガジェットチェーンを介して、任意のファイルのコンテンツを消去したり、ネットワーク接続を行ったり、任意のコード (特に、Function0 関数) を実行したりする可能性があります。(CVE-2022-36944)

  - IBM Engineering Requirements Management DOORS 9.7.2.7 は、クロスサイトリクエスト偽造に対して脆弱です。これにより、攻撃者が、Web サイトが信頼するユーザーから送信された悪意のある認証されていないアクションを実行する可能性があります。IBM X-Force ID: 251216. (CVE-2023-28949)

  - CKEditor 4.14 以前の 4.0 の HTML Data Processor のクロスサイトスクリプティング (XSS ) の脆弱性により、リモートの攻撃者が、細工された保護されたコメント (cke_protected 構文を使用 ) を使用して任意の Web スクリプトを挿入する可能性があります。(CVE-2020-9281)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Enterprise Manager Base Platform のバージョン 13.5.0.0 は、2024 年 7 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Enterprise Manager の Oracle Enterprise Manager Base Platform 製品における脆弱性 (コンポーネント: インストール (Apache Commons Net))。サポートされているバージョンで影響を受けるのは 13.5.0.0です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle Enterprise Manager Base Platform を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、重要なデータに不正にアクセスしたり、Oracle Enterprise Manager Base Platform がアクセスできるすべてのデータに完全にアクセスしたりする可能性があります。(CVE-2021-37533)

  - Oracle Enterprise Manager の Oracle Enterprise Manager Base Platform 製品における脆弱性 (コンポーネント: インストール (json-smart))。サポートされているバージョンで影響を受けるのは 13.5.0.0です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle Enterprise Manager Base Platform を侵害する可能性があります。この脆弱性に対する攻撃に成功すると、権限なしで Oracle Enterprise Manager Base Platform をハングさせたり、頻繁に繰り返しクラッシュさせたりする (完全な DOS) 可能性があります。(CVE-2023-1370)

  - Oracle Enterprise Manager の Oracle Application Testing Suite 製品における脆弱性 (コンポーネント: インストール (Apache Mina SSHD))。サポートされているバージョンで影響を受けるのは 13.3.0.1です。悪用が難しい脆弱性ですが、認証されていない攻撃者が SSH を使用してネットワークにアクセスし、Oracle Application Testing Suite を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Application Testing Suite がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。(CVE-2023-48795)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dsa-5307 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ZeddYu Lu 氏が、基本的なインターネットプロトコル用の Java クライアント API である Apache Commons Net の FTP クライアントが、デフォルトで PASV 応答からのホストを信頼することを発見しました。悪質なサーバーが別のホストを使用するように Commons Net コードをリダイレクトする可能性がありますが、ユーザーはまず悪質なサーバーに接続する必要があります。このため、クライアントのプライベートネットワークで実行されているサービスに関する情報が漏洩する可能性があります。安定版 (stable) ディストリビューション (bullseye) では、この問題はバージョン 3.6-1+deb11u1 で修正されています。お使いの libcommons-net-java パッケージをアップグレードすることを推奨します。libcommons-net-java の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。https://security-tracker.debian.org/tracker/libcommons-net-java

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Primavera Gateway のバージョンは、2023 年 7 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: Admin (Apache Commons Net))。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.15、19.12.0-19.12.16、20.12.0-20.12.11、および 21.12.0-21.12.9です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Primavera Gateway がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。(CVE-2021-37533)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: 管理者 (JSZip))。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.15、19.12.0-19.12.16、20.12.0-20.12.11、および 21.12.0-21.12.9です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、一部の Primavera Gateway アクセス可能データに対する承認されていない更新、挿入、削除アクセス、Primavera Gateway アクセス可能データのサブセットに対する承認されていない読み取りアクセス、および Primavera Gateway の部分的なサービス拒否 (部分的な DOS) を引き起こす承認されていない機能につながる可能性があります。(CVE-2022-48285)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: 管理者 (json-smart))。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.15、19.12.0-19.12.16、20.12.0-20.12.11、および 21.12.0-21.12.9です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Gateway をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。
    (CVE-2023-1370)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: Admin（Spring Framework））。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.15、19.12.0-19.12.16、20.12.0-20.12.11、および 21.12.0-21.12.9です。容易に悪用可能な脆弱性により、権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Gateway をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2023-20863)


Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
224041	Linux Distros のパッチ未適用の脆弱性: CVE-2021-37533	Nessus	Misc.	2025/3/5	2025/9/10	medium
174751	Ubuntu 16.04ESM / 18.04LTS / 20.04LTS / 22.04LTS : Apache Commons Net の脆弱性 (USN-6037-1)	Nessus	Ubuntu Local Security Checks	2023/4/25	2024/8/27	medium
178710	Oracle Business Intelligence Enterprise Edition (OAS) (2023 年 7 月 CPU)	Nessus	Misc.	2023/7/21	2024/7/19	critical
169424	Debian DLA-3251-1: libcommons-net-java - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/12/30	2025/1/22	medium
191754	IBM Engineering Requirements Management DOORS 9.7.2.x < 9.7.2.8 複数の脆弱性 (7124058)	Nessus	Windows	2024/3/8	2024/3/12	critical
202596	Oracle Enterprise Manager Cloud Control (2024 年 7 月の CPU)	Nessus	Misc.	2024/7/18	2024/10/18	medium
169419	Debian DSA-5307-1 : libcommons-net-java - セキュリティ更新	Nessus	Debian Local Security Checks	2022/12/30	2025/1/24	medium
178484	Oracle Primavera Gateway (2023 年 7 月 CPU)	Nessus	CGI abuses	2023/7/19	2023/10/24	high

検出

プラグインの検索

medium

medium

critical

medium

critical

medium

medium

high