リモートホストにインストールされている Primavera Gateway のバージョンは、2024 年 7 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle コンストラクションおよびエンジニアリングの Primavera Gateway 製品の脆弱性 (コンポーネント: Admin (Spring Framework))。サポートされているバージョンで影響を受けるのは、19.12.0-19.12.19、20.12.0-20.12.14、21.12.0-21.12.12 です。
    容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Gateway を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。
    この脆弱性に対する攻撃が成功すると、重要なデータや Primavera Gateway がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Primavera Gateway がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります (CVE-2024-22262)。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - UriComponentsBuilder を使用して、外部から提供された URL を (クエリパラメーターなどを通じて) 解析し、解析された URL のホストで検証チェックを実行するアプリケーションは、オープンリダイレクト https://cwe.mitre.org/data/definitions/601.html 攻撃または SSRF 攻撃に対して脆弱である可能性があります (検証チェックに合格した後に URL が使用された場合)。これは CVE-2024-22259 https://spring.io/security/cve-2024-22259 と CVE-2024-22243 https://spring.io/security/cve-2024-22243 と同じですが、入力が異なります。(CVE-2024-22262)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている MySQL Enterprise Monitor のバージョンは、2024 年 7 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - MySQL Enterprise Monitor コンポーネントの Spring Security の脆弱性。リモートの認証されていない攻撃者は、重要なデータへの不正アクセス、MySQL Enterprise Monitor がアクセスできるデータへのフルアクセス、MySQL Enterprise Monitor がアクセスできる一部のデータへの権限のない更新、挿入、削除のアクセス権を取得する可能性があります。(CVE-2024-22257)

  - MySQL Enterprise Monitor コンポーネントの Spring Framework の脆弱性。影響を受けるサポート対象のバージョンは8.0.38以前です。容易に悪用できる脆弱性により、ネットワークアクセス権を持つ認証されていない攻撃者が、複数のプロトコルを介して MySQL Enterprise Monitor を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、重要なデータまたはすべての MySQL Enterprise Monitor のアクセス可能データに対する認証されていない作成、削除、変更アクセス、さらに重要なデータまたは MySQL Enterprise Monitor のアクセス可能なすべてのデータに対する承認されていないアクセスにつながる可能性があります。(CVE-2024-22262)

  - MySQL Enterprise Monitor コンポーネントの Apache Tomcat の脆弱性。ネットワークアクセス権を持つ認証されていない攻撃者が、複数のプロトコルを介して MySQL Enterprise Monitor を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく MySQL Enterprise Monitor をハングさせたり、頻繁にクラッシュを繰り返させたりする可能性があります。(CVE-2024-24549)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている WebLogic Server のバージョン 12.2.1.4.0 および 14.1.1.0.0 は、2024 年 7 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Core)。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が T3 である IIOP を介してネットワークにアクセスし、Oracle WebLogic サーバーを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogic サーバーの乗っ取りが発生する可能性があります。(CVE-2024-21181) 

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Core)。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle WebLogic Server がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。(CVE-2024-21175)

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Core)。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が T3 である IIOP を介してネットワークにアクセスし、Oracle WebLogic サーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータへの認証されていないアクセスが可能になったり、Oracle WebLogic サーバーがアクセスできるすべてのデータに完全にアクセスできるようになったりします。(CVE-2024-21182)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Primavera Unifier のバージョンは、2024 年 7 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle コンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性 (コンポーネント:
    統合 (Apache James MIME4J))。サポートされているバージョンで影響を受けるのは、19.12.0-19.12.16、20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.13 および 23.12.0-23.12.6です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性に対して攻撃が成功すると、Primavera Unifier がアクセスできるいくつかのデータを、権限なしで更新、挿入、または削除可能になります。(CVE-2024-21742)

  - Oracle コンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性 (コンポーネント: ドキュメント管理 (Spring Framework))。サポートされているバージョンで影響を受けるのは、22.12.0-22.12.13 および 23.12.0-23.12.6です。容易に悪用可能な脆弱性により、権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、権限なしで Primavera Unifier がアクセスできる一部のデータが更新、挿入、削除されたり、Primavera Unifier がアクセスできるデータのサブセットが権限なしで読み取られたりする可能性があります。(CVE-2024-22262)

  - ACL チェックが行われないことによる、Apache ZooKeeper の永続的ウォッチャー処理における情報漏洩。このため、攻撃者が、すでにアクセスしている親に永続的ウォッチャー (addWatch コマンド) をアタッチして、子 znode を監視する可能性があります。ZooKeeper サーバーは、永続的なウォッチャーがトリガーされた場合に ACL チェックを行わないため、ウォッチイベントがトリガーされた znode のフルパスがウォッチャーの所有者に公開されます。この脆弱性によって漏洩するのは znode のデータではなく、そのパスのみですが、znode パスにはユーザー名やログイン ID などの機密情報が含まれている場合があるため、この問題は重大なものとなる可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 3.9.2、3.8.4 へのアップグレードをお勧めします。(CVE-2024-23944)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行されている Atlassian Confluence Server のバージョンは、CONFSERVER-95973 アドバイザリに記載されている脆弱性の影響を受けます。

  - UriComponentsBuilder を使用して、外部から提供された URL を (クエリパラメーターなどを通じて) 解析し、解析された URL のホストで検証チェックを実行するアプリケーションは、オープンリダイレクト https://cwe.mitre.org/data/definitions/601.html 攻撃または SSRF 攻撃に対して脆弱である可能性があります (検証チェックに合格した後に URL が使用された場合)。これは CVE-2024-22259 https://spring.io/security/cve-2024-22259 と CVE-2024-22243 https://spring.io/security/cve-2024-22243 と同じですが、入力が異なります。(CVE-2024-22262)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
202623	Oracle Primavera Gateway (2024 年 7 月 CPU)	Nessus	CGI abuses	2024/7/18	2024/11/21	high
251673	Linux Distros のパッチ未適用の脆弱性: CVE-2024-22262	Nessus	Misc.	2025/8/19	2025/8/19	high
202597	Oracle MySQL Enterprise Monitor (2024 年 7 月 CPU)	Nessus	CGI abuses	2024/7/18	2024/8/23	high
202722	Oracle WebLogic Server (2024 年 7 月 CPU)	Nessus	Misc.	2024/7/19	2024/11/21	critical
202594	Oracle Primavera Unifier (2024 年 7 月 CPU)	Nessus	CGI abuses	2024/7/18	2025/2/17	medium
201102	Atlassian Confluence 1.0.1 < 7.19.24 / 7.20.x < 8.5.11 / 8.6.x < 8.9.3 (CONFSERVER-95973)	Nessus	CGI abuses	2024/6/27	2025/5/22	high

検出

プラグインの検索

high

high

high

critical

medium

high