Alvaro Munoz氏とChristian Schneider氏は、Javaとスムーズに統合されているPython言語の実装であるjythonが、逆シリアル化にシリアル化関数を送信する際に任意コード実行の影響を受けやすいことを発見しました。

リモートホストにインストールされているOracle Enterprise Manager Cloud Controlのバージョンは、Enterprise Manager Base Platformコンポーネントにおける複数の脆弱性の影響を受けます。-リモートセキュリティの脆弱性がOracle Enterprise ManagerのEnterprise Manager Base Platform製品にあります。ネットワークアクセス権を持つ認証されていない攻撃者がこの脆弱性を悪用し、HTTP経由でJythonコマンドを送信して、細工されたシリアル化されたPyFunctionオブジェクトを介して任意のコードを実行し、Enterprise Manager Base Platformを乗っ取る可能性があります。（CVE-2016-4000）

リモートホストにインストールされているOracle Enterprise Manager Cloud Controlのバージョンは、Enterprise Manager Base Platformコンポーネントにおける複数の脆弱性の影響を受けます。-リモートでコードが実行される脆弱性が2.7.1rc1より前のJythonにあります。認証されていないリモートの攻撃者がこれを悪用し、シリアル化された関数をデシリアライザーに送信する可能性があります。（CVE-2016-4000）- クライアントが大きな素数値からの鍵の生成に長い時間を費やすため、サービス拒否（DoS）の脆弱性がOpenSSLにあります。悪意のあるリモートサーバーがこの問題を悪用し、クライアントに非常に大きな素数値を送信することによって、鍵の生成が終了するまでクライアントをハング状態にする可能性があります。（CVE-2018-0732）

リモートホストは、GLSA-201710-28（Jython：任意のコード実行）で説明されている脆弱性に影響されています。 Jythonは、シリアル化された関数をデシリアライザーに送信することにより、任意のコード実行に対して脆弱であることが判明しました。影響：ユーザーを誘導して悪意のあるコードを実行させることによる、任意のコードのリモート実行。回避策：現時点では、既知の回避策はありません。

Alvaro Munoz氏とChristian Schneider氏は、Javaとスムーズに統合されているPython言語の実装であるJythonが、オブジェクトの逆シリアル化を行う際に任意のコードを実行することを発見しました。

Debian 7「Wheezy」では、これらの問題はバージョン2.5.2-1+deb7u1で修正されました。

お使いのjythonパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストにインストールされているOracle Application Testing Suiteのバージョンは、複数の脆弱性の影響を受けます。- Oracle Enterprise ManagerのOracle Application Testing Suite製品の脆弱性（コンポーネント：Oracle Flow Builder（Jython））。影響を受けるサポート対象のバージョンは、12.5.0.3、13.1.0.1、13.2.0.1、13.3.0.1です。容易に悪用可能な脆弱性により、認証されていない攻撃者がHTTPでネットワークにアクセスし、Oracle Application Testing Suiteサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Application Testing Suiteの乗っ取りが発生する可能性があります。（CVE-2016-4000）- Oracle Enterprise ManagerサブコンポーネントOracle Flow Builder（Jython）のOracle Application Testing Suite製品に存在する詳細不明な脆弱性。認証されていないリモートの攻撃者がHTTPでネットワークにアクセスし、Oracle Application Testing Suiteサーバーを侵害する可能性があります。（CVE-2016-4000）- Oracle Enterprise ManagerサブコンポーネントLoad Testing for Web Apps（Apache POI）のOracle Application Testing Suite製品に存在する詳細不明な脆弱性。認証されていないリモートの攻撃者がHTTPでネットワークにアクセスし、Oracle Application Testing Suiteサーバーを侵害し、プロセスをハングさせたり、頻繁に繰り返しクラッシュさせたりする可能性があります（完全なDOS）。（CVE-2017-12626）- Oracle Enterprise ManagerサブコンポーネントOracle Flow Builder（Apache POI）のOracle Application Testing Suite製品に存在する詳細不明な脆弱性。認証されていないリモートの攻撃者がHTTPでネットワークにアクセスし、Oracle Application Testing Suiteサーバーを侵害し、プロセスをハングさせたり、頻繁に繰り返しクラッシュさせたりする可能性があります（完全なDOS）。（CVE-2017-12626）- Oracle Enterprise ManagerサブコンポーネントLoad Testing for Web Apps（AntiSamy）のOracle Application Testing Suite製品に存在する詳細不明な脆弱性。HTTPでネットワークにアクセスでき、ユーザーのやり取りを取得できる認証されていないリモートの攻撃者がこれを悪用し、その他の製品に影響を与え、一部のアクセス可能なデータにアクセスし、権限なく更新、挿入、削除したり、アクセス可能なデータのサブセットに権限なくアクセスし読み取ったりする可能性があります。（CVE-2017-14735）- Oracle Enterprise ManagerサブコンポーネントOracle Flow Builder（AntiSamy）のOracle Application Testing Suite製品に存在する詳細不明な脆弱性。HTTPでネットワークにアクセスでき、ユーザーのやり取りを取得できる認証されていないリモートの攻撃者がこれを悪用し、その他の製品に影響を与え、一部のアクセス可能なデータにアクセスし、権限なく更新、挿入、削除したり、アクセス可能なデータのサブセットに権限なくアクセスし読み取ったりする可能性があります。（CVE-2017-14735）- Oracle Enterprise ManagerサブコンポーネントLoad Testing for Web Apps（Application Development Framework）のOracle Application Testing Suite製品に存在する詳細不明な脆弱性。認証されていないリモートの攻撃者がHTTPでネットワークにアクセスし、Oracle Application Testing Suiteサーバーを乗っ取る可能性があります。（CVE-2019-2904）- Oracle Enterprise ManagerサブコンポーネントOracle Flow Builder（jQuery）のOracle Application Testing Suite製品に存在する詳細不明な脆弱性。HTTPでネットワークにアクセスでき、ユーザーのやり取りを取得できる認証されていないリモートの攻撃者がこれを悪用し、その他の製品に影響を与え、一部のアクセス可能なデータにアクセスし、権限なく更新、挿入、削除したり、アクセス可能なデータのサブセットに権限なくアクセスし読み取ったりする可能性があります。（CVE-2019-11358）- Oracle Enterprise ManagerサブコンポーネントLoad Testing for Web Apps（Apache POI）のOracle Application Testing Suite製品に存在する詳細不明な脆弱性。インフラストラクチャにネットワークでアクセス可能な、認証された、低い権限を持つリモートの攻撃者が、重要なデータに権限なくアクセスしたり、Oracle Application Testing Suiteがアクセスできるすべてのデータに完全アクセスしたりする可能性があります。（CVE-2019-12415）- Oracle Enterprise ManagerサブコンポーネントOracle Flow BuilderのOracle Application Testing Suite製品に存在する詳細不明な脆弱性。ネットワークにHTTPでアクセスできる認証されていないリモートの攻撃者が、重要なデータに権限なくアクセスしたり、Oracle Application Testing Suiteがアクセスできるすべてのデータに完全アクセスしたりする可能性があります。（CVE-2020-2673）

リモートホストにインストールされているOracle Application Testing Suiteのバージョンは複数の脆弱性の影響を受けます。- Oracle Enterprise Manager Products SuiteのEnterprise Manager Base Platform Agent Next Gen（Jython）コンポーネントは容易に悪用でき、認証されていない攻撃者によるEnterprise Manager Base Platformの乗っ取りが発生する可能性があります。（CVE-2016-4000）- Oracle Enterprise Manager Products SuiteのEnterprise Manager Base Platform Discovery Framework（OpenSSL）コンポーネントは容易に悪用でき、認証されていない攻撃者がEnterprise Manager Base Platformの頻繁なクラッシュ（DoS）を引き起こす可能性があります。（CVE-2018-0732）- Oracle Enterprise Manager Products SuiteのEnterprise Manager Ops Center Networking（OpenSSL）コンポーネントは容易に悪用でき、認証されていない攻撃者がEnterprise Manager Ops Center Platformの頻繁なクラッシュ（DoS）を引き起こす可能性があります。（CVE-2018-0732）- Oracle Enterprise Manager Products SuiteのOracle Application Testing Suite Load Testing for Web Apps（Spring Framework）コンポーネントは容易に悪用でき、認証されていない攻撃者によるEnterprise Manager Base Platformの乗っ取りが発生する可能性があります。（CVE-2018-1258）- Enterprise Manager Base Platform EM Consoleコンポーネントは、認証されていない攻撃者によって容易に悪用されます。攻撃が成功すると、権限なしに更新、挿入、削除アクセスできるようになります。（CVE-2018-3303）- Oracle Application Testing Suite Load Testing for Web Appsコンポーネントは、認証されていない攻撃者によって容易に悪用されます。攻撃が成功すると、承認なしで更新、挿入、削除アクセスしたり、部分的なサービス拒否を引き起こしたりできるようになります。（CVE-2018-3304）- Oracle Application Testing Suite Load Testing for Web Appsコンポーネントは、認証されていない攻撃者によって容易に悪用されます。攻撃が成功すると、承認なしで更新、挿入、削除アクセスしたり、部分的なサービス拒否を引き起こしたりできるようになります。（CVE-2018-3305）- Oracle Enterprise ManagerのEnterprise Manager for Virtualization Plug-In Lifecycle（jackson-databind）コンポーネントを使用すると、認証されていない攻撃者によるEnterprise Manager for Virtualizationの乗っ取りが発生する可能性があります。（CVE-2018-12023）- Oracle Enterprise ManagerのEnterprise Manager for Virtualization Plug-In Lifecycle（jackson-databind）コンポーネントを使用すると、認証されていない攻撃者によるEnterprise Manager for Virtualizationの乗っ取りが発生する可能性があります。（CVE-2018-14718）- Oracle Enterprise ManagerのEnterprise Manager Ops Center Networking（cURL）コンポーネントは容易に悪用でき、認証されていない攻撃者によるEnterprise Manager Ops Centerの乗っ取りが発生する可能性があります。（CVE-2018-1000300）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
101010	DebianDSA-3893-1：jython - セキュリティ更新	Nessus	Debian Local Security Checks	2017/6/23	2025/12/15	critical
130054	Oracle Enterprise Manager Cloud Control（2019年10月CPU）	Nessus	Misc.	2019/10/18	2022/4/11	critical
121225	Oracle Enterprise Manager Cloud Control（2019年1月CPU）	Nessus	Misc.	2019/1/17	2022/4/11	critical
104229	GLSA-201710-28：Jython：任意のコード実行	Nessus	Gentoo Local Security Checks	2017/10/30	2025/11/17	critical
100849	Debian DLA-989-1: jythonセキュリティ更新	Nessus	Debian Local Security Checks	2017/6/19	2025/12/16	critical
133260	Oracle Application Testing Suiteの複数の脆弱性（2020年1月CPU）	Nessus	Misc.	2020/1/27	2024/3/28	critical
121257	Oracle Application Testing Suiteの複数の脆弱性（2019年1月CPU）	Nessus	Misc.	2019/1/21	2024/11/4	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical