The version of Oracle WebLogic Server installed on the remote host is missing a security patch from the April 2020 Critical Patch Update (CPU). It is, therefore, affected by multiple vulnerabilities:

  - A temp directory creation vulnerability in the bundled Guava component that allows a low privileged attacker     with logon access to the infrastructure where Oracle WebLogic Server executes to gain read access to a subset of     data accessible to Oracle WebLogic Server. (CVE-2020-8908)

  - An improper input validation flaw in the bundled JBoss Enterprise Application Platform that allows an     unauthenticated attacker with network access via HTTP update, insert or delete access to a subset of data     accessible to Oracle WebLogic Server. (CVE-2021-28170)

  - A cross-site scripting vulnerability in the bundled JQuery component that allows an unauthenticated attacker with     network access via HTTP, with human interaction from another user, update, insert, delete and read access to a     subset of data accessible to Oracle WebLogic Server. (CVE-2021-41184)

  - A denial of service vulnerability in the core component of Oracle WebLogic Server that allows an unauthenticated     attacker with network access via T3/IIOP to cause a hang or frequently repeatable crash of the Oracle WebLogic     Server. (CVE-2022-21441)

  - A vulnerability in the console component of Oracle WebLogic Server that allows an unauthenticated attacker with     network access via HTTP, with human interaction from another user, update, insert, delete and read access to a     subset of the data accessible to Oracle WebLogic Server. (CVE-2022-21453)

  - A SQL injection vulnerability in the bundled Log4J component that allows an unauthenticated attacker with     network access via HTTP to execute arbitrary code on the Oracle WebLogic Server. (CVE-2022-23305)

  - An XML injection vulnerability in the bundled Apache Xerces Java component that allows an unauthenticated attacker     with network access via HTTP, with human interaction from another user, to cause a hang or frequently repeatable     crash of Oracle WebLogic Server. (CVE-2022-23437)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている Oracle WebLogic Server のバージョンに、2020 年 4 月の Critical Patch Update (CPU) からのセキュリティパッチがありません。そのため、以下の複数の脆弱性の影響を受けます。

  - バンドルされている Guava コンポーネントに一時ディレクトリの作成の脆弱性があるため、権限の低い攻撃者が、Oracle WebLogic Server が実行しているインフラストラクチャにログオンアクセスし、Oracle WebLogic Server がアクセスできる一部のデータの読み取りアクセスを取得する可能性があります。(CVE-2020-8908)

  - バンドルされた JBoss Enterprise Application Platform における不適切な入力検証の欠陥により、認証されていない攻撃者が、Oracle WebLogic Server にアクセス可能な一部のデータへの HTTP 更新、挿入、または削除アクセスを介してネットワークにアクセスする可能性があります。(CVE-2021-28170)

  - バンドルされた JQuery コンポーネントのクロスサイトスクリプティングの脆弱性により、認証されていない攻撃者が、HTTP 経由でネットワークにアクセスし、別のユーザーから人間が操作して、Oracle WebLogic Server にアクセス可能なデータの一部を更新、挿入、削除、読み取りアクセスをする可能性があります。(CVE-2021-41184)

  - Oracle WebLogic Server のコアコンポーネントにサービス拒否の脆弱性があるため、認証されていない攻撃者が T3/IIOP を介してネットワークにアクセスし、Oracle WebLogic Server をハングさせたり、頻繁に繰り返しクラッシュさせたりする可能性があります。(CVE-2022-21441)

  - Oracle WebLogic Server のコンソールコンポーネントの脆弱性により、認証されていない攻撃者が、HTTP 経由でネットワークにアクセスし、別のユーザーから人間が操作して、Oracle WebLogic Server にアクセス可能なデータの一部を更新、挿入、削除、読み取りアクセスをする可能性があります。(CVE-2022-21453)

  - バンドルされた Log4J コンポーネントの SQLインジェクション脆弱性により、認証されていない攻撃者が HTTP 経由でネットワークにアクセスし、Oracle WebLogic Server で任意のコードを実行する可能性があります。(CVE-2022-23305)

  - バンドルされた Apache Xerces Java コンポーネントの XML インジェクションの脆弱性により、認証されていない攻撃者が、HTTP 経由でネットワークにアクセスし、別のユーザーから人間が操作して、Oracle WebLogic Server が停止したり、頻繁に繰り返しクラッシュが起きたりする可能性があります。(CVE-2022-23437)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端主機上安裝的 Oracle WebLogic Server 版本缺少 2020 年 4 月重大修補程式更新 (CPU) 中的安全性修補程式。因此，其會受到多個弱點影響：

  - 隨附的 Guava 元件中有一個暫時目錄建立弱點，允許登入 Oracle WebLogic Server 執行所在之基礎結構的低權限攻擊者讀取 Oracle WebLogic Server 可存取資料的子集。(CVE-2020-8908)

  - 隨附的 JBoss Enterprise Application Platform 中有一個不當驗證輸入缺陷，允許經由 HTTP 存取網路的未經驗證攻擊者更新、插入或刪除 Oracle WebLogic Server 可存取資料的子集。(CVE-2021-28170)

  - 隨附的 JQuery 元件中有一個跨網站指令碼弱點，允許經由 HTTP 存取網路的未經驗證攻擊者透過與其他使用者互動，以更新、插入、刪除及讀取 Oracle WebLogic Server 可存取資料的子集。(CVE-2021-41184)

  - Oracle WebLogic Server 的核心元件中有一個拒絕服務弱點，允許經由 T3/IIOP 存取網路的未經驗證攻擊者造成 Oracle WebLogic Server 懸置或經常重複性當機。(CVE-2022-21441)

  - Oracle WebLogic Server 主控台元件中有一個弱點，允許經由 HTTP 存取網路的未經驗證攻擊者透過與其他使用者互動，以更新、插入、刪除及讀取 Oracle WebLogic Server 可存取資料的子集。(CVE-2022-21453)

  - 隨附的 Log4J 元件中有一個 SQL 注入弱點，允許經由 HTTP 存取網路的未經驗證攻擊者在 Oracle WebLogic Server 上執行任意程式碼。(CVE-2022-23305)

  - 隨附的 Apache Xerces Java 元件中有一個 XML 注入弱點，允許經由 HTTP 存取網路的未經驗證攻擊者透過與其他使用者互動，造成 Oracle WebLogic Server 懸置或經常重複性當機。(CVE-2022-23437)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的 Oracle WebLogic Server 版本缺少 2020 年 4 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响：

  - 捆绑的 Guava 组件中存在临时目录创建漏洞，该漏洞允许低权限攻击者登录执行 Oracle WebLogic Server 的基础架构，以获取对 Oracle WebLogic Server 可访问的一部分数据的读取访问权限。 (CVE-2020-8908)

  - 捆绑的 JBoss Enterprise Application Platform 中存在输入验证不当缺陷，该漏洞允许允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而更新、插入或删除 Oracle WebLogic Server 可访问的一部分数据。（CVE-2021-28170）

  - 捆绑的 JQuery 组件中存在跨站脚本漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，并与其他用户进行人工交互，从而更新、插入、删除和读取 Oracle WebLogic Server 可访问的一部分数据。（CVE-2021-41184）

  - Oracle WebLogic Server 的核心组件中存在拒绝服务漏洞，该漏洞允许未经身份验证的攻击者通过 T3/IIOP 进行网络访问，从而造成 Oracle WebLogic Server 挂起或频繁反复崩溃。 (CVE-2022-21441)

  - Oracle WebLogic Server 的控制台组件中存在一个漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，并与其他用户进行人工交互，从而更新、插入、删除和读取 Oracle WebLogic Server 可访问的一部分数据。（CVE-2022-21453）

  - 捆绑的 Log4J 组件中存在 SQL 注入漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而在 Oracle WebLogic Server 上执行任意代码。（CVE-2022-23305）

  - 捆绑的 Apache Xerces Java 组件中存在 XML 注入漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，并与其他用户进行人工交互，从而造成 Oracle WebLogic Server 挂起或频繁反复崩溃。（CVE-2022-23437）

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
160036	Oracle WebLogic Server (Apr 2022 CPU)	Nessus	Misc.	2022/4/21	2024/1/4	critical
160036	Oracle WebLogic Server (2022 年 4 月 CPU)	Nessus	Misc.	2022/4/21	2024/1/4	critical
160036	Oracle WebLogic Server (2022 年 4 月 CPU)	Nessus	Misc.	2022/4/21	2024/1/4	critical
160036	Oracle WebLogic Server（2022 年 4 月 CPU）	Nessus	Misc.	2022/4/21	2024/1/4	critical

検出

プラグインの検索

critical

critical

critical

critical