リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:4210-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Eclipse Jetty は、ウェブサーバーとサーブレットコンテナを提供します。11.0.0 から 11.0.15、10.0.0 から 10.0.15、および 9.0.0 から 9.4.52 では、[MetaDataBuilder.checkSize] の整数オーバーフローにより、HTTP/2 HPACK ヘッダー値がサイズ制限を超える可能性があります。[MetaDataBuilder.java] は、ヘッダー名または値がサイズ制限を超えているかどうかを判断し、制限を超えた場合は例外をスローします。しかし、length が非常に大きく、huffman が true である場合、295 行目の 4 による乗算がオーバーフローし、length は負になります。[(_size+length)] は負になり、296 行目のチェックはトリガーされません。
    さらに、[MetaDataBuilder.checkSize] は、ユーザーが入力した HPACK ヘッダー値のサイズが負になることを許容しており、ユーザーが入力したサイズが後で 2 を掛けた場合に、非常に大きなバッファの割り当てにつながる可能性があります。これは、ユーザーが負の length 値 (より正確には、4/3 ファッジ係数を掛けると負になる length 値) であり、この length 値が 2 を掛けると非常に大きな正の数になる場合、ユーザーはサーバーに非常に大きなバッファを割り当てることができることを意味します。
    HTTP/2 のユーザーは、リモートのサービス拒否攻撃の影響を受ける可能性があります。この問題はバージョン 11.0.16、10.0.16、および 9.4.53 で修正されています。既知の回避策はありません。(CVE-2023-36478)

  - Eclipse Jetty Canonical Repository は、Jetty プロジェクトの正規リポジトリです。非常に特殊なコマンド構造を持つ CgiServlet のユーザーは、間違ったコマンドを実行する可能性があります。ユーザーが org.eclipse.jetty.servlets.CGI Servlet に対して名前にスペースを含むバイナリのリクエストを送信すると、サーブレットはコマンドを引用符で囲むことでコマンドをエスケープします。この引用符で囲まれたコマンドに、オプションのコマンドプレフィックスが追加され、それが Runtime.exec を呼び出すことで実行されます。ユーザーが指定した元のバイナリ名に引用符とそれに続くスペースが含まれている場合、結果のコマンドラインには複数のトークンが含まれることになります。この問題には、バージョン 9.4.52、10.0.16、11.0.16 および 12.0.0-beta2 で修正されました。
    (CVE-2023-36479)

  - Jetty は、Java ベースのウェブサーバーおよびサーブレットエンジンです。バージョン 9.4.52、10.0.16、11.0.16、12.0.1 より前では、Jetty は HTTP/1 ヘッダーフィールドにおいて content-length 値の直前に「+」文字が入力されることを受け入れます。これは、RFC で許可されているよりも許容度が高く、他のサーバーでは通常このようなリクエストは、400 応答で拒否します。既知の悪用されるシナリオはありませんが、Jetty がこのような 400 応答を送信した後に接続を閉じないサーバーと組み合わせて使用される場合、リクエストスマグリングが発生する可能性があります。バージョン 9.4.52、10.0.16、11.0.16、12.0.1 には、この問題に対するパッチが含まれています。既知の悪用シナリオがないため、回避策はありません。(CVE-2023-40167)

  - Jetty は、Java ベースのウェブサーバーおよびサーブレットエンジンです。バージョン 9.4.21 から 9.4.51、10.0.15、および 11.0.15 は、弱い認証の脆弱性が存在します。もし、Jetty の「OpenIdAuthenticator」がネスト化されたオプションの「LoginService」を使用し、その「LoginService」がすでに認証されているユーザーを取り消すことを決定した場合でも、現在のリクエストはそのユーザーを認証済みとして扱います。その後、認証情報はセッションからクリアされるため、その後のリクエストは認証済みとしては扱われません。そのため、以前に認証されたセッションのリクエストが、「LoginService」によって拒否された後に、認証をバイパスする可能性があります。これは、ネスト化された「LoginService」を設定し、その「LoginService」が以前に認証されたユーザーを拒否できる jetty-openid の使用に影響を与えます。バージョン 9.4.52、10.0.16、および 11.0.16 では、この問題に対するパッチが用意されています。(CVE-2023-41900)

  - HTTP/2 プロトコルでは、リクエストのキャンセルによって多数のストリームを迅速にリセットできるため、サービス拒否 (サーバーリソースの消費) を引き起こすことができます。これは、2023 年 8 月から 10 月まで、野放しで悪用されていました。(CVE-2023-44487)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Jetty は、Java ベースのウェブサーバーおよびサーブレットエンジンです。バージョン 9.4.21 から 9.4.51、10.0.15、および 11.0.15 は、弱い認証の脆弱性が存在します。もし、Jetty の「OpenIdAuthenticator」がネスト化されたオプションの「LoginService」を使用し、その「LoginService」がすでに認証されているユーザーを取り消すことを決定した場合でも、現在のリクエストはそのユーザーを認証済みとして扱います。その後、認証情報はセッションからクリアされるため、その後のリクエストは認証済みとしては扱われません。そのため、以前に認証されたセッションのリクエストが、「LoginService」によって拒否された後に、認証をバイパスする可能性があります。これは、ネスト化された「LoginService」を設定し、その「LoginService」が以前に認証されたユーザーを拒否できる jetty-openid の使用に影響を与えます。バージョン 9.4.52、10.0.16、および 11.0.16 では、この問題に対するパッチが用意されています。(CVE-2023-41900)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Oracle Database Server のバージョンは、2024 年 1 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database Server の Java VM コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.21 および 21.3-21.12です。容易に悪用可能な脆弱性により、Oracle Net を介したネットワークアクセス権のある、Create Session や Create Procedure 権限を持つ権限が低い攻撃者が、Java VM を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、重要なデータや Java VM がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。(CVE-2024-20903)

  - Oracle Database Server の Oracle Spatial および Graph (curl) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.21、21.3-21.12、23.3 です。容易に悪用できる脆弱性により、認証ユーザー権限を持つ権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle Spatial および Graph (curl) を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Spatial および Graph (curl) をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりすることができるようになります。
    (CVE-2023-38545)

  - Oracle Database Server の Oracle Text コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.21 です。容易に悪用可能な脆弱性により、DBA 権限を持つ権限の高い攻撃者が、Oracle Net を介したネットワークアクセスにより、Oracle Text を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Text の部分的なサービス拒否 (部分的な DOS) が権限なしで引き起こされる可能性があります。
    (CVE-2022-21432)

  - 悪用不可能な脆弱性に対する多層セキュリティの更新 CVE-2022-41409、CVE-2022-46337、CVE-2023-2976、CVE-2023-4043、CVE-2023-36479、CVE-2023-40167、CVE-2023-41900、CVE-2023-42794、CVE-2023-42795、CVE-2023-44487、CVE-2023-45648、CVE-2023-46589。


Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 / 12 ホストには、dsa-5507 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Java ベースの Web サーバーおよびサーブレットエンジンである Jetty に、複数のセキュリティの脆弱性が見つかりました。org.eclipse.jetty.servlets.CGI クラスが廃止されました。使用することは潜在的に安全ではありません。Jetty の Upstream 開発者は、代わりに Fast CGI を使用することを推奨しています。CVE-2023-36479も参照してください。CVE-2023-26048 影響を受けるバージョンで、マルチパートをサポートするサーブレット (例:「@ MultipartConfig」で注釈付け) は、クライアントが名前はあるがファイル名がなく、コンテンツが非常に大きいパートを持つマルチパートリクエストを送信するとき、「HttpServletRequest.getParameter()」または「HttpServletRequest.getParts()」を呼び出すため、「OutOfMemoryError」を引き起こす可能性があります。
    これは、パーツのコンテンツ全体をディスクにストリーミングしなければならない「fileSizeThreshold=0」のデフォルト設定でも発生します。CVE-2023-26049 Jetty の非標準のクッキー解析により、攻撃者が他のクッキー内にクッキーをスマグリングしたり、クッキー解析メカニズムを改ざんして意図しない動作を実行したりする可能性があります。CVE-2023-40167 このバージョンより前の Jetty は HTTP/1 ヘッダーフィールドにおいて content-length 値の直前に「+」文字が入力されることを受け入れます。これは、RFC で許可されているよりも許容度が高く、他のサーバーでは通常このようなリクエストは、400 応答で拒否します。既知の悪用されるシナリオはありませんが、Jetty がこのような 400 応答を送信した後に接続を閉じないサーバーと組み合わせて使用される場合、リクエストスマグリングが発生する可能性があります。CVE-2023-36479 非常に特殊なコマンド構造を持つ CgiServlet のユーザーは、間違ったコマンドを実行する可能性があります。ユーザーが org.eclipse.jetty.servlets.CGI Servlet に対して名前にスペースを含むバイナリのリクエストを送信すると、サーブレットはコマンドを引用符で囲むことでコマンドをエスケープします。この引用符で囲まれたコマンドに、オプションのコマンドプレフィックスが追加され、それが Runtime.exec を呼び出すことで実行されます。ユーザーが指定した元のバイナリ名に引用符とそれに続くスペースが含まれている場合、結果のコマンドラインには複数のトークンが含まれることになります。CVE-2023-41900 Jetty は、弱い認証に脆弱です。もし、Jetty の「OpenIdAuthenticator」がネスト化されたオプションの「LoginService」を使用し、その「LoginService」がすでに認証されているユーザーを取り消すことを決定した場合でも、現在のリクエストはそのユーザーを認証済みとして扱います。その後、認証情報はセッションからクリアされるため、その後のリクエストは認証済みとしては扱われません。そのため、以前に認証されたセッションのリクエストが、「LoginService」によって拒否された後に、認証をバイパスする可能性があります。これは、ネスト化された「LoginService」を設定し、その「LoginService」が以前に認証されたユーザーを拒否できる jetty-openid の使用に影響を与えます。旧安定版 (oldstable) ディストリビューション (bullseye) では、これらの問題はバージョン 9.4.39-3+deb11u2 で修正されています。安定版 (stable) ディストリビューション (bookworm) では、これらの問題はバージョン 9.4.50-4+deb12u1 で修正されています。jetty9 パッケージをアップグレードすることを推奨します。jetty9 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。https://security-tracker.debian.org/tracker/jetty9

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている IBM Cognos Analytics のバージョンは、11.2.4 FP4、または 12.0.4 より前です。したがって、7173592 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Formidable v3.1.4 の任意のファイルアップロードの脆弱性により、攻撃者は細工したファイル名を使用して任意のコードを実行できます。注意: この製品には、任意のファイルをアップロードすることが望ましい動作であるという一般的な使用例があるため、一部のサードパーティはこの問題に異議を唱えています。また、すべてのバージョンには、ファイルの処理方法のデフォルトの動作を変更できる設定オプションがあります。Strapi はこれを有効な脆弱性とは考えていません。(CVE-2022-29622)

  - Node.js IP パッケージでは、ip.isPublic() 関数のサーバーサイドリクエスト偽造の脆弱性により、リモートの攻撃者がシステム上で任意のコードを実行できます。攻撃者は、プライベート IP アドレスの 16 進表現を使用して特別に細工されたリクエストを送信することにより、この脆弱性を悪用してシステム上で任意のコードを実行し、機密情報を取得する可能性があります。(CVE-2023-42282)   
  - HTTP/2 プロトコルの多重化ストリームの処理における欠陥により、複数のベンダーがサービス拒否攻撃に対して脆弱です。リモートの攻撃者がこの脆弱性を悪用して、多数の HTTP/2 リクエストと RST_STREAM フレームを複数のストリーム経由で送信することにより、サーバーリソースの消費によるサービス拒否を引き起こす可能性があります。(CVE-2023-44487)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
183942	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : jetty-minimal(SUSE-SU-2023:4210-1)	Nessus	SuSE Local Security Checks	2023/10/27	2024/2/9	medium
258163	Linux Distros のパッチ未適用の脆弱性: CVE-2023-41900	Nessus	Misc.	2025/8/30	2025/8/30	medium
189165	Oracle Database Server (2024 年 1 月 CPU)	Nessus	Databases	2024/1/18	2024/4/19	medium
182198	Debian DSA-5507-1 : jetty9 - セキュリティ更新	Nessus	Debian Local Security Checks	2023/9/29	2025/1/24	medium
213274	IBM Cognos Analytics 11.2.x < 11.2.4 FP4 / 12.0.x < 12.0.4 の複数の脆弱性 (7173592)	Nessus	CGI abuses	2024/12/20	2025/4/3	critical

検出

プラグインの検索

medium

medium

medium

medium

critical