junit4で、テストルールTemporaryFolderにローカル情報漏洩の脆弱性が含まれています。Unixのようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。このため、ファイルとディレクトリがこのディレクトリに書き込まれると、デフォルトでは、同じシステム上の他のユーザーが読み取ることができます。この脆弱性では、他のユーザーがこれらのディレクトリまたはファイルのコンテンツを上書きすることはできません。これは純粋な情報漏洩の脆弱性です。JUnitテストがAPIキーやパスワードなどの機密情報を一時フォルダに書き込み、JUnitテストがOSに他の信頼できないユーザーがある環境で実行される場合、この脆弱性の影響を受けます。

Debian 9「Stretch」では、この問題はバージョン4.12-4+deb9u1で修正されています。

お使いのjunit4パッケージをアップグレードすることをお勧めします。

junit4の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/junit4

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Azure Linux 3.0 ホストにインストールされている junit は、テスト済みのバージョンより前のバージョンです。したがって、CVE-2020-15250 のアドバイザリに記載されている脆弱性の影響を受けます。

  バージョン4.7からのJUnit4および4.13.1より前のJUnit4で、テストルールTemporaryFolderにローカル情報漏洩の脆弱性が含まれています。Unixのようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。このため、ファイルとディレクトリがこのディレクトリに書き込まれると、デフォルトでは、同じシステム上の他のユーザーが読み取ることができます。この脆弱性では、他のユーザーがこれらのディレクトリまたはファイルのコンテンツを上書きすることはできません。これは純粋な情報漏洩の脆弱性です。JUnitテストがAPIキーやパスワードなどの機密情報を一時フォルダに書き込み、JUnitテストがOSに他の信頼できないユーザーがある環境で実行される場合、この脆弱性の影響を受けます。特定の JDK ファイルシステム API が JDK 1.7 でのみ追加されていたため、この修正は使用している JDK のバージョンに依存しています。Java 1.7 およびそれ以降のユーザー向けこの脆弱性は 4.13.1で修正されています。Java 1.6 以前のユーザーの場合パッチが利用できないため、以下の回避策を使用する必要があります。パッチを適用できない場合、またはJava 1.6で実行をスタックしている場合は、システムの環境変数「java.io.tmpdir」を実行ユーザーのみが所有するディレクトリに指定すると、この脆弱性が修正されます。脆弱なコードの例を含む詳細については、参照されているGitHubセキュリティアドバイザリを参照してください。（CVE-2020-15250）

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのUbuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10ホストには、USN-4731-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  バージョン4.7からのJUnit4および4.13.1より前のJUnit4で、テストルールTemporaryFolderにローカル情報漏洩の脆弱性が含まれています。Unixのようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。このため、ファイルとディレクトリがこのディレクトリに書き込まれると、デフォルトでは、同じシステム上の他のユーザーが読み取ることができます。この脆弱性では、他のユーザーがこれらのディレクトリまたはファイルのコンテンツを上書きすることはできません。これは純粋な情報漏洩の脆弱性です。JUnitテストがAPIキーやパスワードなどの機密情報を一時フォルダに書き込み、JUnitテストがOSに他の信頼できないユーザーがある環境で実行される場合、この脆弱性の影響を受けます。特定のJDKファイルシステムAPIがJDK1.7でのみ追加されていたため、この修正は使用しているJDKのバージョンに依存しています。Java1.7およびそれ以降のユーザーの場合：この脆弱性は4.13.1で修正されています。Java1.6およびそれ以前のユーザーの場合：利用可能なパッチがないため、以下の回避策を使用する必要があります。パッチを適用できない場合、またはJava 1.6で実行をスタックしている場合は、システムの環境変数「java.io.tmpdir」を実行ユーザーのみが所有するディレクトリに指定すると、この脆弱性が修正されます。脆弱なコードの例を含む詳細については、参照されているGitHubセキュリティアドバイザリを参照してください。（CVE-2020-15250）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  バージョン4.7からのJUnit4および4.13.1より前のJUnit4で、テストルールTemporaryFolderにローカル情報漏洩の脆弱性が含まれています。Unixのようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。このため、ファイルとディレクトリがこのディレクトリに書き込まれると、デフォルトでは、同じシステム上の他のユーザーが読み取ることができます。この脆弱性では、他のユーザーがこれらのディレクトリまたはファイルのコンテンツを上書きすることはできません。これは純粋な情報漏洩の脆弱性です。JUnitテストがAPIキーやパスワードなどの機密情報を一時フォルダに書き込み、JUnitテストがOSに他の信頼できないユーザーがある環境で実行される場合、この脆弱性の影響を受けます。特定の JDK ファイルシステム API が JDK 1.7 でのみ追加されていたため、この修正は使用している JDK のバージョンに依存しています。Java 1.7 およびそれ以降のユーザーの場合：この脆弱性は で修正されています 4.13.1。Java 1.6 以前のユーザー：利用可能なパッチはありません。以下の回避策を使用する必要があります。パッチを適用できない場合、またはJava 1.6で実行をスタックしている場合は、システムの環境変数「java.io.tmpdir」を実行ユーザーのみが所有するディレクトリに指定すると、この脆弱性が修正されます。脆弱なコードの例を含む詳細については、参照されているGitHubセキュリティアドバイザリを参照してください。（CVE-2020-15250）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている WebLogic Server の 12.2.1.4.0、14.1.1.0.0、および 14.1.2.0.0バージョンは、2025 年 10 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: 一元化されたサードパーティ Jars (GlassFish Server))。サポートされているバージョンで影響を受けるのは、12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 です。簡単に悪用可能な脆弱性によって、認証されていない攻撃者が、Oracle WebLogic Server が実行されているインフラストラクチャにログオンし、Oracle WebLogic Server を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、重要なデータへの認証されていないアクセスが可能になったり、Oracle WebLogic サーバーがアクセスできるすべてのデータに完全にアクセスできるようになったりします。(CVE-2020-15250)

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Core)。
    サポートされているバージョンで影響を受けるのは、14.1.1.0.0 および 14.1.2.0.0です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP/2 を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、権限なく Oracle WebLogic Server をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2025-61752)

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: Core)。
    サポートされているバージョンで影響を受けるのは、12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Server がアクセスできるデータのサブセットが、権限なしで読み取りアクセスされる可能性があります。（CVE-2025-61764）

  - Oracle Fusion Middleware の Oracle WebLogic Server 製品の脆弱性 (コンポーネント: 一元化されたサードパーティ Jars (Apache Commons Lang))。サポートされているバージョンで影響を受けるのは 12.2.1.4.0 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Server の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。(CVE-2025-48924)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
142206	Debian DLA-2426-1: junit4セキュリティ更新	Nessus	Debian Local Security Checks	2020/11/2	2024/2/12	medium
296033	Azure Linux 3.0 セキュリティ更新junitCVE-2020-15250]	Nessus	Azure Linux Local Security Checks	2026/1/22	2026/1/22	medium
146384	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : JUnit 4の脆弱性（USN-4731-1）	Nessus	Ubuntu Local Security Checks	2021/2/11	2024/8/28	medium
223316	Linux Distros のパッチ未適用の脆弱性: CVE-2020-15250	Nessus	Misc.	2025/3/4	2026/8/4	medium
271253	Oracle WebLogic Server (2025 年 10 月 CPU)	Nessus	Misc.	2025/10/23	2026/2/24	high

検出

プラグインの検索

medium

medium

medium

medium

high