リモートホストにインストールされている Oracle E-Business Suite のバージョンは、2023 年 4 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle E-Business Suite の Oracle Application Object Library 製品の脆弱性 (コンポーネント:
    GUI)。サポートされているバージョンで影響を受けるのは、12.2.3-12.2.11 です。容易に悪用可能な脆弱性があり、権限の弱い攻撃者が HTTP を介してネットワークにアクセスし、Application Object Library を侵害する可能性があります。
    攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのは Application Object Library ですが、攻撃が他の製品に大きな影響を与える可能性があります。(範囲変更) この脆弱性に対する攻撃が成功すると、Oracle Application Object Library がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があるほか、Oracle Application Object Library がアクセスできるデータのサブセットに権限なしで読み取りアクセスが行われたり、権限なしで Oracle Application Object Library の部分的なサービス拒否 (部分的な DOS) を引き起こすことができるようになったりする可能性があります。(CVE-2023-21978)

  - Oracle E-Business Suite の Oracle iProcurement 製品における脆弱性 (コンポーネント：E-Content Manager Catalog)。サポートされているバージョンで影響を受けるのは、12.2.3-12.2.12 です。容易に悪用可能な脆弱性により、権限が低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle iProcurement を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのは Oracle iProcurement ですが、攻撃が他の製品に大きな影響を与える可能性があります (範囲変更)。この脆弱性による攻撃が成功すると、権限のない更新、Oracle iProcurement がアクセスできるデータへのアクセスの挿入、削除ならびに Oracle iProcurement がアクセスできるデータのサブセットへの権限のない読み取りアクセスが可能になります。(CVE-2023-21973)

  - Oracle E-Business Suite の Oracle iReceivables 製品における脆弱性 (コンポーネント: Attachments)。
    サポートされているバージョンで影響を受けるのは、12.2.3-12.2.12 です。容易に悪用可能な脆弱性により、権限が低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle iReceivables を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle iReceivables がアクセスできるデータのサブセットを、権限なしで読み取りアクセス可能になります。(CVE-2023-21959)

  - Oracle E-Business Suite の Oracle User Management 製品における脆弱性 (コンポーネント：Proxy User Delegation)。サポートされているバージョンで影響を受けるのは、12.2.3-12.2.12 です。容易に悪用可能な脆弱性により、権限が低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle User Management を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle User Management がアクセスできるデータのサブセットを、権限なしで読み取りアクセス可能になります。(CVE-2023-21997)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The versions of Oracle E-Business Suite installed on the remote host are affected by multiple vulnerabilities as referenced in the April 2023 CPU advisory.

  - Vulnerability in the Oracle Application Object Library product of Oracle E-Business Suite (component:
    GUI). Supported versions that are affected are 12.2.3-12.2.11. Easily exploitable vulnerability allows     low privileged attacker with network access via HTTP to compromise Oracle Application Object Library.
    Successful attacks require human interaction from a person other than the attacker and while the     vulnerability is in Oracle Application Object Library, attacks may significantly impact additional     products (scope change). Successful attacks of this vulnerability can result in unauthorized update,     insert or delete access to some of Oracle Application Object Library accessible data as well as     unauthorized read access to a subset of Oracle Application Object Library accessible data and     unauthorized ability to cause a partial denial of service (partial DOS) of Oracle Application Object     Library. (CVE-2023-21978)

  - Vulnerability in the Oracle iProcurement product of Oracle E-Business Suite (component: E-Content     Manager Catalog). Supported versions that are affected are 12.2.3-12.2.12. Easily exploitable     vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle     iProcurement. Successful attacks require human interaction from a person other than the attacker and     while the vulnerability is in Oracle iProcurement, attacks may significantly impact additional products     (scope change). Successful attacks of this vulnerability can result in unauthorized update, insert or     delete access to some of Oracle iProcurement accessible data as well as unauthorized read access to a     subset of Oracle iProcurement accessible data. (CVE-2023-21973)

  - Vulnerability in the Oracle iReceivables product of Oracle E-Business Suite (component: Attachments).
    Supported versions that are affected are 12.2.3-12.2.12. Easily exploitable vulnerability allows low     privileged attacker with network access via HTTP to compromise Oracle iReceivables. Successful attacks     of this vulnerability can result in unauthorized read access to a subset of Oracle iReceivables     accessible data. (CVE-2023-21959)

  - Vulnerability in the Oracle User Management product of Oracle E-Business Suite (component: Proxy User     Delegation). Supported versions that are affected are 12.2.3-12.2.12. Easily exploitable vulnerability     allows low privileged attacker with network access via HTTP to compromise Oracle User Management.
    Successful attacks of this vulnerability can result in unauthorized read access to a subset of Oracle     User Management accessible data. (CVE-2023-21997)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端主機上安裝的 Oracle E-Business Suite 版本受到 2023 年 4 月 CPU 公告中提及的多個弱點影響。

  - Oracle E-Business Suite 的 Oracle Application Object Library 產品中的弱點 (元件：
    GUI)。受影響的支援版本是 12.2.3-12.2.11。攻擊此弱點的難度較小，經由 HTTP 存取網路的低權限攻擊者可藉此入侵 Oracle Application Object Library。
    若要成功攻擊，必須有攻擊者以外之他人進行互動，且雖然此弱點位於 Oracle Application Object Library 中，但攻擊可能對其他產品造成重大影響 (範圍變更)。成功攻擊此弱點可能導致在未經授權的情況下更新、插入或刪除 Oracle Application Object Library 的若干可存取資料、在未授權的情況下讀取 Oracle Application Object Library 可存取資料的子集，以及能夠在未授權的情況下造成 Oracle Application Object Library 部分拒絕服務 (部分 DOS)。(CVE-2023-21978)

  - Oracle E-Business Suite 之 Oracle iProcurement 產品中的弱點 (元件：數位内容管理員目錄)。受影響的支援版本是 12.2.3-12.2.12。攻擊此弱點的難度較小，具有網路存取權限的低權限攻擊者可以藉此經由 HTTP 入侵 Oracle iProcurement。若要成功攻擊，必須有攻擊者以外之他人進行互動，且雖然此弱點位於 Oracle iProcurement 中，但攻擊可能對其他產品造成重大影響 (範圍變更)。若成功攻擊此弱點，攻擊者未經授權即可更新、插入或刪除部分 Oracle iProcurement 可存取資料，並且可以未經授權讀取 Oracle iProcurement 可存取資料的子集。(CVE-2023-21973)

  - Oracle E-Business Suite 的 Oracle iReceivables 產品中的弱點 (元件：附件)。
    受影響的支援版本是 12.2.3-12.2.12。攻擊此弱點的難度較小，具有網路存取權限的低權限攻擊者可以藉此經由 HTTP 入侵 Oracle iReceivables。成功攻擊此弱點可導致在未經授權的情況下讀取部分 Oracle iReceivables 可存取資料。(CVE-2023-21959)

  - Oracle E-Business Suite 之 Oracle User Management 產品中的弱點 (元件：Proxy 使用者委派)。受影響的支援版本是 12.2.3-12.2.12。攻擊此弱點的難度較小，具有網路存取權限的低權限攻擊者可以藉此經由 HTTP 入侵 Oracle User Management。
    成功攻擊此弱點可導致在未經授權的情況下讀取部分 Oracle User Management 可存取資料。(CVE-2023-21997)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Oracle E-Business Suite 版本受到 2023 年 4 月 CPU 公告中提及的多个漏洞影响。

  - Oracle E-Business Suite 的 Oracle Application Object Library 产品中的漏洞（组件：
    GUI）。支持的版本中受影响的是 12.2.3-12.2.11。此漏洞很容易被利用，允许低权限攻击者通过 HTTP 进行网络访问，从而破坏 Oracle Application Object Library。
    若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Application Object Library 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击会导致在未经授权的情况下更新、插入或删除某些 Oracle Application Object Library 可访问数据的访问权限，以及在未经授权的情况下对 Oracle Application Object Library 可访问数据子集进行读取访问，并且在未经授权的情况下即可造成 Oracle Application Object Library 出现部分拒绝服务（部分 DoS）。(CVE-2023-21978)

  - Oracle E-Business Suite 的 Oracle iProcurement 产品中的漏洞（组件：E-Content Manager Catalog）。支持的版本中受影响的是 12.2.3-12.2.12。此漏洞很容易被利用，允许低权限攻击者通过 HTTP 进行网络访问，从而破坏 Oracle iProcurement。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle iProcurement 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除某些 Oracle iProcurement 可访问数据的访问权限，以及对 Oracle iProcurement 可访问数据子集进行未经授权的读取访问。(CVE-2023-21973)

  - Oracle E-Business Suite 的 Oracle iReceivables 产品中的漏洞（组件：Attachments）。
    支持的版本中受影响的是 12.2.3-12.2.12。此漏洞很容易被利用，允许低权限攻击者通过 HTTP 进行网络访问，从而破坏 Oracle iReceivables。成功利用此漏洞进行攻击可导致在未经授权的境况下，对 Oracle iReceivables 可访问数据子集进行读取访问。(CVE-2023-21959)

  - Oracle E-Business Suite 的 Oracle User Management 产品中的漏洞（组件：Proxy User Delegation）。支持的版本中受影响的是 12.2.3-12.2.12。此漏洞很容易被利用，允许低权限攻击者通过 HTTP 进行网络访问，从而破坏 Oracle User Management。
    成功利用此漏洞进行攻击可导致在未经授权的境况下，对 Oracle User Management 可访问数据子集进行读取访问。(CVE-2023-21997)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
174519	Oracle E-Business Suite (2023 年 4 月 CPU)	Nessus	Misc.	2023/4/20	2023/7/20	medium
174519	Oracle E-Business Suite (Apr 2023 CPU)	Nessus	Misc.	2023/4/20	2023/7/20	medium
174519	Oracle E-Business Suite (2023 年 4 月 CPU)	Nessus	Misc.	2023/4/20	2023/7/20	medium
174519	Oracle E-Business Suite（2023 年 4 月 CPU）	Nessus	Misc.	2023/4/20	2023/7/20	medium

検出

プラグインの検索

medium

medium

medium

medium