リモートホストにインストールされているOracle Enterprise Manager Cloud Controlのバージョンは、Enterprise Manager Base Platformコンポーネントにおける複数の脆弱性の影響を受けます。- Apache Commons FileUploadでの逆シリアル化の脆弱性により、リモートでコードが実行される可能性があります。（CVE-2016-1000031）- タイミングサイドチャネル攻撃の可能性があるため、情報漏えいの脆弱性がOpenSSLにあります。認証されていない攻撃者がこれを悪用し、秘密情報を漏えいさせる可能性があります。（CVE-2018-0734）- デザインエラーのため、Apache HTTP Server 2.4.17から2.4.34にサービス拒否（DoS）の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、連続した大きなSETTINGSフレームを送信することで、接続タイムアウトを発生させることなく、クライアントの接続、サーバースレッド、CPU時間を占有する可能性があります。この問題の影響を受けるのはHTTP/2接続のみです。考えられる軽減策は、h2プロトコルを有効にしないことです。（CVE-2018-11763）- Enterprise Manager Base Platform（Spring Framework）のネットワーキングコンポーネントが容易に悪用され、認証されていないリモートの攻撃者がEnterprise Manager Base Platformを乗っ取る可能性があります。（CVE-2018-1258）

自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているOracle Primavera P6 Enterprise Project Portfolio Management（EPPM）のインストールは、8.4.15.10より前の8.4、15.2.18.4より前の15.x、16.2.17.2より前の16.x、17.12.12.0より前の17.x、または18.8.8.0より前の18.xです。したがって、複数の脆弱性の影響を受けます。- Apache Commons FileUploadに逆シリアル化の脆弱性があるため、リモートでコードが実行される可能性があります。（CVE-2016-1000031）- バンドルされているサードパーティコンポーネントのOpenSSLライブラリのDSA署名アルゴリズムにサービス拒否の脆弱性があるため、タイミングサイドチャンネル攻撃に対して脆弱です。攻撃者がこの脆弱性を悪用して、秘密鍵を復元する可能性があります。（CVE-2018-0734）- Java用の高速で強力なJSONライブラリであるjackson-databindに逆シリアル化の脆弱性があるため、認証されていないユーザーがコードを実行する可能性があります。この問題は、ブラックリストを拡張し、より多くのクラスをポリモーフィック型の逆シリアル化からブロックすることで解決されました。（CVE-2018-19362）Nessusはこれらの問題をテストしていませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているOracle Tuxedoのバージョンに、セキュリティパッチがありません。したがって、複数の脆弱性の影響を受けます。- タイミングサイドチャンネル攻撃の可能性があるため、情報漏えいの脆弱性がOpenSSLにあります。認証されていない攻撃者がこれを悪用し、秘密情報を漏えいさせる可能性があります。（CVE-2018-0734、CVE-2018-0735、CVE-2018-5407）

インストールされているopenssl110fパッケージのバージョンによると、リモートホストにインストールされているEulerOSは次の脆弱性の影響を受けます。- OpenSSL DSA署名アルゴリズムは、タイミングサイドチャンネル攻撃に対して脆弱であることがわかっています。攻撃者が署名アルゴリズムの変動を悪用し、秘密鍵を復元する可能性があります。OpenSSL 1.1.1aで修正されました（1.1.1が影響を受けます）。OpenSSL 1.1.0jで修正されました（1.1.0～1.1.0iが影響を受けます）。OpenSSL 1.0.2qで修正されました（1.0.2～1.0.2pが影響を受けます）。（CVE-2018-0734）- プロセッサの同時マルチスレッド（SMT）では、ローカルユーザーが「ポート競合」のサイドチャンネルタイミング攻撃を仕掛けて、タイミング攻撃に脆弱なソフトウェアを悪用する可能性があります。（CVE-2018-5407）- 通常、OpenSSL ECグループには常にコファクターが存在し、これはサイドチャンネル耐性コードパスで使用されます。ただし、（名前付き曲線を使用する代わりに）明示的なパラメーターを使用してグループを作成できる場合があります。その場合、このようなグループにはコファクターが存在しない可能性があります。これは、すべてのパラメーターが既知の名前付き曲線と一致する場合でも発生する可能性があります。このような曲線が使用される場合、OpenSSLは、サイドチャンネル以外の耐性コードパスにフォールバックすることで、ECDSA署名操作中に完全にキーを回復する可能性があります。脆弱であるには、libcryptoを使用するアプリケーションでコファクターが存在しない明示的なパラメーターを使用して大量の署名が作成されているときの作成時間を攻撃者が知ることができる必要があります。ただし、libsslでは、明示的なパラメーターが使用されないため脆弱ではありません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。OpenSSL 1.1.0lで修正されました（1.1.0～1.1.0kが影響を受けます）。OpenSSL 1.0.2tで修正されました（1.0.2～1.0.2sが影響を受けます）。（CVE-2019-1547）- 攻撃者が復号化の成功または失敗の自動通知を受け取るとき、復号化する大量のメッセージが送信されると、攻撃者がBleichenbacherパディングオラクル攻撃を仕掛けて、CMS/PKCS7で転送された暗号化キーを復元したり、公開RSAキーで暗号化されたRSA暗号化メッセージを復号化したりする可能性があります。証明書とともにCMS_decrypt関数またはPKCS7_decrypt関数へのプライベートRSAキーを使用して、復号化する正しい受信者情報を選択する場合、アプリケーションは影響を受けません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。OpenSSL 1.1.0hで修正されました（1.1.0～1.1.0kが影響を受けます）。OpenSSL 1.0.2tで修正されました（1.0.2～1.0.2sが影響を受けます）。（CVE-2019-1563）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このnodejs4の更新では、以下の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-0734：DSA署名生成におけるタイミングの脆弱性が修正されました（bsc#1113652）。

  - CVE-2018-5407：ハイパースレッドポートコンテンツサイドチャネル攻撃（別名「PortSmash」）を修正しました（bsc#1113534）

  - CVE-2018-12120：デフォルトでデバッガーがどのインターフェイスでもリッスンするよう修正しました（bsc#1117625）

  - CVE-2018-12121：大きなHTTPヘッダーによるサービス拒否を修正しました（bsc#1117626）

  - CVE-2018-12122：Slowloris HTTPのサービス拒否を修正しました（bsc#1117627）

  - CVE-2018-12116：HTTPリクエストの分割を修正しました（bsc#1117630）

  - CVE-2018-12123：JavaScriptプロトコルのURLパーサーにおけるホスト名のなりすましを修正しました（bsc#1117629）

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

このopenssl用更新プログラムでは、以下の問題が修正されています：

CVE-2018-0732：DH鍵生成で過度に大きな素数を拒否します（bsc#1097158）

CVE-2018-0734：DSA署名生成におけるタイミングの脆弱性（bsc#1113652）。

CVE-2018-0737：RSA鍵生成におけるキャッシュタイミングの脆弱性（bsc#1089039）

CVE-2018-5407：楕円曲線のスカラー乗法タイミング攻撃に対する防御（「PortSmash」の修正）（bsc#1113534）

CVE-2019-1559：SSL_shutdownによる0バイトレコードのパディングオラクルを修正します（bsc#1127080）

RSAでのOne＆Doneサイドチャネル攻撃を修正します（bsc#1104789）

無効なECポイントの座標を拒否します（bsc#1131291）

TLS実装へのキャッシュ攻撃（）：TLS実装へのキャッシュ攻撃（bsc#1117951）

欠落しているエラー文字列をCVE-2016-8610に追加する修正（bsc#1110018#c9）

ECDSAとDSAのブラインディング強化（bsc#1097624、bsc#1098592）

非セキュリティ修正：fipsパッチのエラー検出を修正します（bsc#1106197）

openssl(cli)を追加します。これにより、opensslバイナリを必要とするパッケージが、新しいopensslメタパッケージの代わりにこれを要求できます（bsc#1101470）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
125147	Oracle Enterprise Manager Ops Center（2019年4月のCPU）	Nessus	Misc.	2019/5/15	2023/4/25	critical
124169	Oracle Primavera P6 Enterprise Project Portfolio Management（EPPM）の複数の脆弱性（2019年4月CPU）	Nessus	CGI abuses	2019/4/19	2024/5/31	critical
124171	Oracle Tuxedoの複数の脆弱性（2019年4月CPU）	Nessus	Misc.	2019/4/19	2024/5/31	medium
131584	EulerOS 2.0 SP2：openssl110f（EulerOS-SA-2019-2430）	Nessus	Huawei Local Security Checks	2019/12/4	2022/5/18	medium
121415	openSUSEセキュリティ更新プログラム：nodejs4（openSUSE-2019-88）	Nessus	SuSE Local Security Checks	2019/1/28	2024/6/25	high
126046	SUSE SLES12セキュリティ更新プログラム：openssl（SUSE-SU-2019:1553-1）	Nessus	SuSE Local Security Checks	2019/6/19	2022/12/5	medium

検出

プラグインの検索

critical

critical

medium

medium

high

medium