Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 5.2.24 release+ 、5.3.27+ 、 6.0.8+ より前のバージョンの spring フレームワークでは、ユーザーが特別に細工された SpEL 式を提供してサービス拒否DoS状態を引き起こす可能性があります。
    (CVE-2023-20863)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Oracle WebLogic Server のバージョンに、2023 年 7 月の Critical Patch Update (CPU) からのセキュリティパッチがありません。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Centralized Third Party Jars (Jettison))。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく Oracle WebLogic Server をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2023-1436)

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Core)。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、重要なデータや Oracle WebLogic Server がアクセスできるすべてのデータを権限なしで作成、削除、変更される可能性があることに加えて、Oracle WebLogic Server でハングを引き起こしたり、頻繁にクラッシュを繰り返したりする (完全な DOS) 可能性があります (CVE-2023-22040)。

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Centralized Thirdparty Jars (NekoHTML))。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogic サーバーの乗っ取りが発生する可能性があります。(CVE-2023-26119)

  Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Primavera Gateway のバージョンは、2023 年 7 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: Admin (Apache Commons Net))。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.15、19.12.0-19.12.16、20.12.0-20.12.11、および 21.12.0-21.12.9です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Primavera Gateway がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。(CVE-2021-37533)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: 管理者 (JSZip))。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.15、19.12.0-19.12.16、20.12.0-20.12.11、および 21.12.0-21.12.9です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、一部の Primavera Gateway アクセス可能データに対する承認されていない更新、挿入、削除アクセス、Primavera Gateway アクセス可能データのサブセットに対する承認されていない読み取りアクセス、および Primavera Gateway の部分的なサービス拒否 (部分的な DOS) を引き起こす承認されていない機能につながる可能性があります。(CVE-2022-48285)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: 管理者 (json-smart))。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.15、19.12.0-19.12.16、20.12.0-20.12.11、および 21.12.0-21.12.9です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Gateway をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。
    (CVE-2023-1370)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: Admin（Spring Framework））。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.15、19.12.0-19.12.16、20.12.0-20.12.11、および 21.12.0-21.12.9です。容易に悪用可能な脆弱性により、権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Gateway をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2023-20863)


Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている MySQL Enterprise Monitor のバージョンは、2023 年  10 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle MySQL の MySQL Enterprise Monitor 製品における脆弱性 (コンポーネント :  監視：一般（Apache Struts））。影響を受けるサポート対象のバージョンは 8.0.34以前です。容易に悪用できる脆弱性により、ネットワークアクセス権を持つ認証されていない攻撃者が、複数のプロトコルを介してMySQL Enterprise Monitorを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なくMySQL Enterprise Monitor をハングさせたり、頻繁にクラッシュを繰り返させたりする可能性 (完全な DOS があります。(CVE-2023-34396)

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: 一元化されたサードパーティ Jars (Google Guava))。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。
    簡単に悪用可能な脆弱性によって、権限の低い攻撃者が、Oracle WebLogic Server が実行されているインフラストラクチャにログオンし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle WebLogic Server がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Oracle WebLogic Server がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。(CVE-2023-2976)

  - Oracle Communications の Oracle SD-WAN Edge 製品の脆弱性 (コンポーネント: 管理 (Spring Framework))。サポートされているバージョンで影響を受けるのは 9.1.1.5.0です。容易に悪用可能な脆弱性により、権限が低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle SD-WAN Edge を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle SD-WAN Edge をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりすることができるようになります。(CVE-2023-20863)

  - WebFlux の Spring Security 設定のパターンとして ** を使用すると、Spring Security と Spring WebFlux の間のパターンマッチングに不一致が生じ、セキュリティバイパスが発生する可能性があります。
    (CVE-2023-34034)

  - 問題の要約: 過度に長い DH キーまたはパラメーターのチェックは、非常に遅くなる可能性があります。影響の概要:
    DH_check()、DH_check_ex() または EVP_PKEY_param_check() 関数を使用して DH キーまたは DH パラメーターをチェックするアプリケーションは、長い遅延が発生する可能性があります。チェックされているキーまたはパラメーターが信頼できないソースから取得された場合、サービス拒否が引き起こされる可能性があります。DH_check() 関数は、DH パラメーターのさまざまなチェックを実行します。CVE-2023-3446 の修正後、大きな q パラメーター値も、これらのチェックの一部で過度に長い計算をトリガーする可能性があることが発見されました。正しい q 値は、存在する場合でも、係数 p パラメーターより大きくすることはできません。したがって、q が p より大きい場合は、これらのチェックを実行する必要はありません。DH_check() を呼び出し、信頼できないソースから取得したキーまたはパラメーターを提供するアプリケーションは、サービス拒否攻撃に対して脆弱な可能性があります。関数 DH_check() は、それ自体が多数の他の OpenSSL 関数によって呼び出されます。他の関数を呼び出すアプリケーションも同様に影響を受ける可能性があります。これによって影響を受ける他の関数は、DH_check_ex() と EVP_PKEY_param_check() です。
    OpenSSL の dhparam および pkeyparam コマンドラインアプリケーションも、「-check」オプションを使用する際に脆弱です。OpenSSL SSL/TLS の実装は、この問題の影響を受けません。OpenSSL 3.0 および 3.1 FIPS プロバイダーは、この問題の影響を受けません。(CVE-2023-3817)

  - Apache Tomcat の FORM 認証機能に、信頼できないサイトへの URL リダイレクト (「オープンリダイレクト」) の脆弱性。この問題は Apache Tomcat に影響を与えます。11.0.0-M1 から 11.0.0-M10 まで、10.1.0-M1 から 10.0.12 まで、9.0.0-M1 から 9.0.79 まで、8.5.0 から 8.5.92 まで。この脆弱性は、ROOT (デフォルト) ウェブアプリケーション限定です。(CVE-2023-41080)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
257075	Linux Distros のパッチ未適用の脆弱性: CVE-2023-20863	Nessus	Misc.	2025/8/27	2025/10/14	medium
178618	Oracle WebLogic Server (2023 年 7 月 CPU)	Nessus	Misc.	2023/7/20	2024/1/4	critical
178484	Oracle Primavera Gateway (2023 年 7 月 CPU)	Nessus	CGI abuses	2023/7/19	2023/10/24	high
183397	Oracle MySQL Enterprise Monitor (2023 年 10 月 CPU)	Nessus	CGI abuses	2023/10/19	2023/10/19	critical

検出

プラグインの検索

medium

critical

high

critical