The remote Oracle WebLogic server is affected by a remote code execution vulnerability in the WLS Security component due to unsafe deserialize calls of unauthenticated Java objects to the Apache Commons File Upload library. An unauthenticated, remote attacker can exploit this, via a crafted a DiskFileItem object, to execute arbitrary code in the context of the WebLogic server.

The version of Oracle WebLogic Server installed on the remote host is affected by multiple vulnerabilities :

  - A remote code execution vulnerability exists in the     JMXInvokerServlet interface due to unsafe deserialize     calls of unauthenticated Java objects to the Apache     Commons Collections (ACC) library. An unauthenticated,     remote attacker can exploit this to execute arbitrary     code. (CVE-2015-7501)

  - An unspecified flaw exists in the Java Server Faces     subcomponent that allows an authenticated, remote     attacker to execute arbitrary code. (CVE-2016-3505)

  - An unspecified flaw exists in the Web Container     subcomponent that allows an unauthenticated, remote     attacker to cause a denial of service condition.
    (CVE-2016-5488)

  - An unspecified flaw exists in the WLS-WebServices     subcomponent that allows an unauthenticated, remote     attacker to execute arbitrary code. (CVE-2016-5531)

  - An unspecified flaw that allows an unauthenticated,     remote attacker to execute arbitrary code. No other     details are available. (CVE-2016-5535)

  - An unspecified flaw exists in the CIE Related     subcomponent that allows a local attacker to impact     confidentiality and integrity. (CVE-2016-5601)

Apache Commons File Uploadライブラリに対する、認証されていないJavaオブジェクトの安全でない逆シリアル化コールのため、リモートのOracle WebLogicサーバーは、WLSセキュリティコンポーネントにおいてリモートでコードが実行される脆弱性による影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、細工されたDiskFileItemオブジェクトを介して、WebLogicサーバーのコンテキストで任意のコードを実行する可能性があります。

リモートホストにインストールされているOracle WebLogic Serverのバージョンは、複数の脆弱性の影響を受けます。- Apache Commons Collections（ACC）ライブラリに対する認証されていないJavaオブジェクトの安全でない逆シリアル化呼び出しのため、リモートでコードが実行される脆弱性がJMXInvokerServletインターフェイスにあります。認証されていないリモートの攻撃者がこれを悪用し、任意のコードを実行する可能性があります。（CVE-2015-7501）- Java Server Facesサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2016-3505）- Web Containerサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者がサービス拒否状態を引き起こす可能性があります。（CVE-2016-5488）- WLS-WebServicesサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2016-5531）- 詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。これ以上の詳細情報はありません。（CVE-2016-5535）- CIE Relatedサブコンポーネントに詳細不明な欠陥があり、ローカルの攻撃者が機密性および整合性に影響を与える可能性があります。（CVE-2016-5601）

遠端 Oracle WebLogic Server 受到 WLS 安全性元件中一個遠端程式碼執行弱點的影響，這是因為未驗證的 Java 物件對 Apache Commons File Upload 程式庫進行不安全的還原序列化呼叫所致。未經驗證的遠端攻擊者可加以惡意利用，透過特製的 DiskFileItem 物件，在 WebLogic 伺服器內容中執行任意程式碼。

遠端主機上安裝的 Oracle WebLogic Server 版本受到多個弱點影響：- JMXInvokerServlet 介面中有一個遠端程式碼執行弱點存在，這是因為未經驗證的 Java 物件對 Apache Commons Collections (ACC) 程式庫進行不安全的還原序列化呼叫所致。未經驗證的遠端攻擊者可利用此弱點執行任意程式碼。(CVE-2015-7501) - Java Server Faces 子元件中有一個不明缺陷存在，經驗證的遠端攻擊者可藉以執行任意程式碼。(CVE-2016-3505) - Web Container 子元件中有一個不明缺陷存在，未經驗證的遠端攻擊者可藉以造成拒絕服務情形。(CVE-2016-5488) - WLS-WebServices 子元件中有一個不明缺陷存在，未經驗證的遠端攻擊者可藉以執行任意程式碼。(CVE-2016-5531) - 有一個不明缺陷存在，未經驗證的遠端攻擊者可藉以執行任意程式碼。目前尚無其他詳細資料可以提供。(CVE-2016-5535) - CIE Related 子元件中有一個不明缺陷存在，本機攻擊者可藉以影響機密性和完整性。(CVE-2016-5601)

由于未经身份验证的 Java 对象对 Apache Commons File Upload 库不安全的反序列化调用，远程 Oracle WebLogic 服务器受到 WLS 安全组件中远程代码执行漏洞的影响。未经身份验证的远程攻击者可利用此问题，通过构建的 DiskFileItem 对象，在 WebLogic 服务器环境中执行任意代码。

远程主机上安装的 Oracle WebLogic Server 版本受到多个漏洞的影响：- 由于未经身份验证的 Java 对象不安全地反序列化调用 Apache Commons Collections (ACC) 库，JMXInvokerServlet 界面中存在远程代码执行漏洞。未经身份验证的远程攻击者可利用此问题执行任意代码。(CVE-2015-7501) - Java Server Faces 子组件中存在不明缺陷，允许经身份验证的远程攻击者执行任意代码。(CVE-2016-3505) - Web Container 子组件中存在不明缺陷，允许未经身份验证的远程攻击者造成拒绝服务情况。(CVE-2016-5488) - WLS-WebServices 子组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2016-5531) - 存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。无其他详细内容。(CVE-2016-5535) - CIE Related 子组件中存在不明缺陷，允许本地攻击者影响机密性和完整性。(CVE-2016-5601)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
94511	Oracle WebLogic Server Java Object Deserialization RCE (October 2016 CPU)	Nessus	Web Servers	2016/11/3	2022/4/11	critical
94290	Oracle WebLogic Server Multiple Vulnerabilities (October 2016 CPU)	Nessus	Misc.	2016/10/26	2024/1/4	critical
94511	Oracle WebLogic Server Javaオブジェクトの逆シリアル化RCE（2016年10月CPU）	Nessus	Web Servers	2016/11/3	2022/4/11	critical
94290	Oracle WebLogic Serverの複数の脆弱性（2016年10月CPU）	Nessus	Misc.	2016/10/26	2024/1/4	critical
94511	Oracle WebLogic Server Java 物件還原序列化 RCE (2016 年 10 月 CPU)	Nessus	Web Servers	2016/11/3	2022/4/11	critical
94290	Oracle WebLogic Server Multiple Vulnerabilities (October 2016 CPU)	Nessus	Misc.	2016/10/26	2024/1/4	critical
94511	Oracle WebLogic Server Java 对象反序列化 RCE（2016 年 10 月 CPU）	Nessus	Web Servers	2016/11/3	2022/4/11	critical
94290	Oracle WebLogic Server Multiple Vulnerabilities (October 2016 CPU)	Nessus	Misc.	2016/10/26	2024/1/4	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical