リモートホストにインストールされている Oracle WebLogic Server のバージョンに、2022 年 7 月の Critical Patch Update (CPU) からのセキュリティパッチがありません。そのため、以下を含む複数の脆弱性による影響を受けます：

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント：サードパーティツール、サンプル (Spring Framework))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogic サーバーの乗っ取りが発生する可能性があります。(CVE-2022-22965)

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント：一元化されたサードパーティ Jar (OWASP Enterprise Security API))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogic サーバーの乗っ取りが発生する可能性があります。(CVE-2022-23457)

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント：一元化されたサードパーティ Jar (Apache Maven))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。
    容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle WebLogic Server がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Oracle WebLogic Server がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。(CVE-2021-26291)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのDebian 11ホストには、dla-4246アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ libowasp-esapi-java バージョン 2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian バグ1010339 1109378

    Java Enterprise Security API である libowasp-esapi-java に複数のセキュリティの脆弱性が発見されました。

    CVE-2022-23457:

        ESAPI (OWASP Enterprise Security API) は、無料のオープンソースのウェブアプリケーションセキュリティコントロールライブラリです。この更新より前の「Validator.getValidDirectoryPath(String, String, File, boolean)」のデフォルト実装は、テストされた入力文字列を指定された親ディレクトリの子として不適切に扱う可能性があります。これにより、攻撃者が「入力」パスを表す文字列全体を指定できる場合、制御フローバイパスチェックを無効にできる可能性があります。

    CVE-2022-24891:

        ESAPI にクロスサイトスクリプティングの脆弱性の可能性があります。これは、
        **antisamy-esapi.xml** 構成ファイルにより、javascript: URL を正しくサニタイズできません。

    CVE-2025-5878:

        この問題は、SQL インジェクション防御のインターフェース Encoder.encodeForSQL に影響を与えます。攻撃は、特別な要素の不適切な中立化につながります。Debian で影響を受ける逆依存関係は認識されていませんが、スタンドアロンプロジェクトで ESAPI を使用している場合は、Encoder.encodeForSQL メソッドが廃止され、最終的に削除されることに留意してください。さらに、DB2Codec、MySQLCodec および OracleCodec のクラスも廃止されました。プロジェクトがこれらのクラスとメソッドの影響を受けるかどうか、およびアプリケーションを保護するために追加のステップを実装する必要があるかどうかを、慎重に評価することを推奨しています。の更新は、潜在的なリスクから自動的に保護されません。

    Debian 11 Bullseyeでは、これらの問題はバージョン2.4.0.0-0+deb11u1で修正されました。

    libowasp-esapi-java パッケージをアップグレードすることを推奨します。

    libowasp-esapi-java の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Primavera Unifier のバージョンは、2022 年 10 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle コンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性 (コンポーネント：ドキュメント管理 (Apache Solr))。サポートされているバージョンで影響を受けるのは、18.8、19.12、20.12、および21.12です。容易に悪用可能な脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、Primavera Unifierを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Unifierの乗っ取りが発生する可能性があります。
    (CVE-2020-9492)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性 (コンポーネント：ユーザーインターフェイス (Enterprise Security API))。サポートされているバージョンで影響を受けるのは、18.8、19.12、20.12、および21.12です。悪用が難しい脆弱性ですが、権限の低い攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Unifier の乗っ取りが発生する可能性があります。(CVE-2022-23457)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性 (コンポーネント：ユーザーインターフェイス (Moment.js))。サポートされているバージョンで影響を受けるのは、19.12、20.12、21.12 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性により攻撃が成功すると、Primavera Unifier の部分的なサービス拒否 (部分的な DOS) が権限なしに引き起こされる可能性があります。(CVE-2022-31129)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性 (コンポーネント：ドキュメント管理 (Apache Tika))。サポートされているバージョンで影響を受けるのは、18.8、19.12、20.12、および21.12です。簡単に悪用可能な脆弱性により、権限のない攻撃者が、Primavera Unifierが実行されているインフラストラクチャにログオンし、Primavera Unifierを危険にさらす可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性により攻撃が成功すると、Primavera Unifier の部分的なサービス拒否 (部分的な DOS) が権限なしに引き起こされる可能性があります。(CVE-2022-33879)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Unifier 製品の多層セキュリティ問題 (コンポーネント: プラットフォーム、ユーザーインターフェイス (Apache Velocity Engine))。この脆弱性は、この製品のコンテキストでは悪用できません。(CVE-2020-13936)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Unifier 製品の多層セキュリティ問題 (コンポーネント: ドキュメント管理 (Apache ZooKeeper)。この脆弱性は、この製品のコンテキストでは悪用できません。(CVE-2020-7712)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには USN-8181-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Jaroslav Lobaevski氏は、パス検証中にESAPIがディレクトリパスを誤って検証することを発見しました。
    攻撃者がこの問題を利用して、ディレクトリ検証チェックをバイパスし、制御フローのバイパスを引き起こす可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、および Ubuntu 22.04 LTS にのみ影響を与えます。(CVE-2022-23457)

    Kevin W. Wall 氏と Sebastian Passaro 氏は、正規表現が正しくないため、ESAPI が javascript URL を適切にサニタイズしないことを発見しました。攻撃者は、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、および Ubuntu 22.04 LTS にのみ影響を与えます。(CVE-2022-24891)

    Longlong Gong氏は、SQLインジェクション防御中にESAPIが特別な要素を適切に中立化しないことを発見しました。リモートの攻撃者がこの問題を悪用して、SQLインジェクションを仕掛ける可能性があります。CVE-2025-5878

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
163298	Oracle WebLogic Server (2020 年 7 月 CPU)	Nessus	Misc.	2022/7/20	2024/1/4	critical
242493	Debian dla-4246 : libowasp-esapi-java - セキュリティ更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium
166305	Oracle Primavera Unifier (2022 年 10 月 CPU)	Nessus	CGI abuses	2022/10/20	2024/10/23	critical
307008	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSESAPI の脆弱性USN-8181-1	Nessus	Ubuntu Local Security Checks	2026/4/17	2026/4/17	medium

検出

プラグインの検索

critical

medium

critical

medium