According to its self-reported version number, the Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) installation running on the remote web server is 8.3.x prior to 8.3.15.4, 8.4.x prior to 8.4.15.2, 15.x prior to 15.2.15.1, or 16.x prior to 16.2.9.0. It is, therefore, affected by the following vulnerabilities :

  - A flaw exists in the Web Access component, specifically     in Apache MyFaces Trinidad in CoreResponseStateManager,     due to using ObjectInputStream and ObjectOutputStream     strings directly without securely deserializing Java     input. An unauthenticated, remote attacker can exploit     this, via a crafted serialized view state string, to     execute arbitrary code. (CVE-2016-5019)

  - Multiple unspecified flaws exist in the Web Access     component that allow an authenticated, remote attacker     to disclose sensitive information. (CVE-2017-10038,     CVE-2017-10160)

  - An unspecified flaw exists in the Web Access component     that allows an authenticated, remote attacker to     impact confidentiality and integrity. (CVE-2017-10046)

  - An unspecified flaw exists in the Web Access component     that allows an authenticated, remote attacker to     impact confidentiality, integrity, and availability.
    (CVE-2017-10131)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョン番号によると、リモートWebサーバーで実行されているOracle Primavera P6 Enterprise Project Portfolio Management（EPPM）のインストールは、8.3.15.4より前の8.3.x、8.4.15.2より前の8.4.x、15.2.15.1より前の15.x、または16.2.9.0より前の16.xです。したがって、次の脆弱性の影響を受けます。- 安全な逆シリアル化Java入力なしで ObjectInputStreamとObjectOutputStream文字列を直接使用しているため、Web Accessコンポーネント、特にApache MyFaces Trinidad in CoreResponseStateManagerに欠陥があります。認証されていないリモートの攻撃者がこの脆弱性を悪用し、特別に細工されたシリアル化ビュー状態文字列を介して、任意のコードを実行する可能性があります。（CVE-2016-5019）- Web Accessコンポーネントに複数の詳細不明な欠陥があり、認証されたリモートの攻撃者が秘密情報を漏えいする可能性があります。（CVE-2017-10038、CVE-2017-10160）- Web Accessコンポーネントに詳細不明な欠陥があり、認証されたリモートの攻撃者が機密性および整合性に影響を与える可能性があります。（CVE-2017-10046）- Web Accessコンポーネントに詳細不明な欠陥があり、認証されたリモートの攻撃者が機密性、整合性、可用性に影響を与える可能性があります。（CVE-2017-10131）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) 是 8.3.15.4 之前的 8.3.x 版、8.4.15.2 之前的 8.4.x 版、15.2.15.1 之前的 15.x 版，或 16.2.9.0 之前的 16.x 版。因此，會受到以下弱點影響：- Web Access 元件中存在一個缺陷，尤其是在 CoreResponseStateManager 的 Apache MyFaces Trinidad 中，這是因為直接使用 ObjectInputStream 和 ObjectOutputStream 字串而未安全地還原序列化 Java 輸入所致。未經驗證的遠端攻擊者可加以惡意利用，透過特製的檢視狀態字串執行任意程式碼。(CVE-2016-5019) - Web Access 元件中存在多個不明缺陷，經驗證的遠端攻擊者可藉以洩漏敏感資訊。(CVE-2017-10038、CVE-2017-10160) - Web Access 元件中存在一個不明缺陷，經驗證的遠端攻擊者可藉以影響機密性和完整性。(CVE-2017-10046) - Web Access 元件中存在一個不明缺陷，經驗證的遠端攻擊者可藉以影響機密性、完整性和可用性。(CVE-2017-10131) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其自我报告的版本号，在远程 Web 服务器上运行的 Oracle Primavera P6 企业项目组合管理 (EPPM) 安装版本为低于 8.3.15.4 的 8.3.x、低于 8.4.15.2 的 8.4、低于 15.2.15.1 的 15.x 或低于 16.2.9.0 的 16.x。因而会受到以下漏洞的影响：- 由于未安全地反序列化 Java 输入而直接使用 ObjectInputStream 和 ObjectOutputStream 字符串，Web Access 组件中存在缺陷，尤其是在 Apache MyFaces Trinidad 的 CoreResponseStateManager 中。未经身份验证的远程攻击者可利用此问题，通过特制的序列化视图状态字符串执行任意代码。(CVE-2016-5019) - Web Access 组件中存在多个不明缺陷，允许经身份验证的远程攻击者泄露敏感信息。(CVE-2017-10038, CVE-2017-10160) - Web Access 组件中存在不明缺陷，允许经身份验证的远程攻击者影响机密性和完整性。(CVE-2017-10046) - Web Access 组件中存在不明缺陷，允许经身份验证的远程攻击者影响机密性、完整性和可用性。(CVE-2017-10131) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

The version of Oracle Enterprise Manager Cloud Control installed on the remote host is affected by multiple vulnerabilities in the Enterprise Manager Base Platform component :

  - A flaw exists in the Bouncy Castle Java library due to     improper validation of a point within the elliptic     curve. An unauthenticated, remote attacker can exploit     this to obtain private keys by using a series of     specially crafted elliptic curve Diffie-Hellman (ECDH)     key exchanges, also known as an 'invalid curve attack.'     (CVE-2015-7940)

  - A flaw exists in Apache MyFaces Trinidad, specifically     in the CoreResponseStateManager component, due to the     ObjectInputStream and ObjectOutputStream strings being     used directly without securely deserializing Java input.
    An unauthenticated, remote attacker can exploit this,     via a deserialization attack using a crafted serialized     view state string, to have an unspecified impact that     may include the execution of arbitrary code.
    (CVE-2016-5019)

Note that the product was formerly known as Enterprise Manager Grid Control.

The version of Oracle JDeveloper installed on the remote host is missing a security patch. It is, therefore, affected by multiple remote code execution vulnerabilities :

  - A remote code execution vulnerability exists in the     Application Development Framework (ADF) Faces     subcomponent that allows an unauthenticated, remote     attacker to execute arbitrary code. (CVE-2016-3504)

  - A remote code execution vulnerability exists in the     Apache MyFaces Trinidad component in the     CoreResponseStateManager subcomponent due to improper     validation of the ObjectInputStream and     ObjectOutputStream strings prior to deserialization. An     unauthenticated, remote attacker can exploit this to     execute arbitrary code. (CVE-2016-5019)

リモートホストにインストールされているOracle JDeveloperのバージョンに、セキュリティパッチがありません。したがって、リモートでコードが実行される複数の脆弱性の影響を受けます。-リモートでコードが実行される脆弱性がApplication Development Framework（ADF）Facesサブコンポーネントにあり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2016-3504）-シリアル化解除前のObjectInputStreamおよびObjectOutputStream文字列が不適切に検証されているため、リモートでコードが実行される脆弱性がCoreResponseStateManagerサブコンポーネントのApache MyFaces Trinidadコンポーネントにあります。認証されていないリモートの攻撃者がこれを悪用し、任意のコードを実行する可能性があります。（CVE-2016-5019）

リモートホストにインストールされているOracle Enterprise Manager Cloud Controlのバージョンは、Enterprise Manager Base Platformコンポーネントにおける複数の脆弱性の影響を受けます。- 楕円曲線内のポイントが不適切に検証されているため、Bouncy Castle Javaライブラリに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工された一連の楕円曲線Diffie-Hellman（ECDH）キー交換で、秘密キーを取得する可能性があります。（「無効な曲線攻撃」とも呼ばれます）。（CVE-2015-7940）- Java入力を安全に逆シリアル化せずにOutputInputStreamとObjectOutputStreamの文字列が直接使用されているため、Apache MyFaces Trinidad、特にCoreResponseStateManagerコンポーネントに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたシリアライズドビューステート文字列を使用した逆シリアル化攻撃を介して、任意のコードの実行を含む詳細不明な影響を及ぼす可能性があります。（CVE-2016-5019）この製品は、以前はEnterprise Manager Grid Controlとして知られていました。

远程主机上安装的 Oracle JDeveloper 版本缺少一个安全修补程序。因此，它会受到 Application Development Framework (ADF) Faces 子组件中的一个远程代码执行漏洞影响，其允许经认证的远程攻击者执行任意代码。

远程主机上安装的 Oracle Enterprise Manager Cloud Control 版本受到 Enterprise Manager Base Platform 组件中的多个漏洞影响：- 由于未正确验证椭圆曲线中的点，Bouncy Castle Java 库中存在缺陷。未经身份验证的远程攻击者可利用此问题，通过使用一系列特制的椭圆曲线 Diffie-Hellman (ECDH) 密钥交换（亦称作“无效曲线攻击”），获得私钥。(CVE-2015-7940) - 由于 ObjectInputStream 和 ObjectOutputStream 字符串，在未安全反序列化 Java 输入的情况下遭到直接利用，Apache MyFaces Trinidad 中存在缺陷，尤其是 CoreResponseStateManager 组件中。未经身份验证的远程攻击者可利用此问题，以使用构建序列化视图状态字符串的方式发动反序列化攻击，产生不明影响，其中可能包括执行任意代码。(CVE-2016-5019) 请注意，该产品以前称为 Enterprise Manager Grid Control。

遠端主機上安裝的 Oracle JDeveloper 版本缺少一個安全性修補程式。因此，會受到 Application Development Framework (ADF) Faces 子元件中的一個遠端程式碼執行弱點影響，其允許經驗證的遠端攻擊者執行任意程式碼。

遠端主機上安裝的 Oracle Enterprise Manager Cloud Control 版本，受到 Enterprise Manager Base Platform 元件中的多個弱點影響：- Bouncy Castle Java 程式庫中有一個缺陷存在，這是因為不當驗證橢圓曲線內的一個點所致。未經驗證的遠端攻擊者可加以惡意利用，透過使用一系列特製橢圓曲線 Diffie-Hellman (ECDH) 金鑰交換來取得私密金鑰 (又稱為「無效曲線攻擊」)。(CVE-2015-7940) - Apache MyFaces Trinidad 中有一個缺陷存在，尤其是在 CoreResponseStateManager 元件中，這是因為 ObjectInputStream 和 ObjectOutputStream 字串在未安全還原序列化 Java 輸入的情況下遭到使用。未經驗證的遠端攻擊者可加以惡意利用，以使用特製序列化檢視狀態字串的方式發動還原序列化攻擊，造成可能包含任意程式碼執行在內的不明影響。(CVE-2016-5019) 請注意，此產品之前稱為 Enterprise Manager Grid Control。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
101900	Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) Multiple Vulnerabilities (July 2017 CPU)	Nessus	CGI abuses	2017/7/21	2022/4/11	critical
101900	Oracle Primavera P6 Enterprise Project Portfolio Management（EPPM）の複数の脆弱性（2017年7月CPU）	Nessus	CGI abuses	2017/7/21	2022/4/11	critical
101900	Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) 多個弱點 (2017 年 7 月 CPU)	Nessus	CGI abuses	2017/7/21	2022/4/11	critical
101900	Oracle Primavera P6 企业项目组合管理 (EPPM) 多个漏洞（2017 年 7 月 CPU）	Nessus	CGI abuses	2017/7/21	2022/4/11	critical
96777	Oracle Enterprise Manager Cloud Control Multiple Vulnerabilities (January 2017 CPU)	Nessus	Misc.	2017/1/25	2022/4/11	critical
93592	Oracle JDeveloper Multiple RCE (July 2016 CPU)	Nessus	Misc.	2016/9/19	2022/4/11	critical
93592	Oracle JDeveloper Multiple RCE（2016年7月のCPU）	Nessus	Misc.	2016/9/19	2022/4/11	critical
96777	Oracle Enterprise Manager Cloud Controlの複数の脆弱性（2017年1月CPU）	Nessus	Misc.	2017/1/25	2022/4/11	critical
93592	Oracle JDeveloper ADF Faces RCE（2016 年 7 月 CPU）	Nessus	Misc.	2016/9/19	2022/4/11	critical
96777	Oracle Enterprise Manager Cloud Control Multiple Vulnerabilities (January 2017 CPU)	Nessus	Misc.	2017/1/25	2022/4/11	critical
93592	Oracle JDeveloper ADF Faces RCE (2016 年 7 月 CPU)	Nessus	Misc.	2016/9/19	2022/4/11	critical
96777	Oracle Enterprise Manager Cloud Control Multiple Vulnerabilities (January 2017 CPU)	Nessus	Misc.	2017/1/25	2022/4/11	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical