リモートホストにインストールされているOracle WebLogicサーバーのバージョンは、複数の脆弱性の影響を受けます：- Oracle Weblogic ServerのWebサービスのjqueryコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、アクセス可能な一部のOracle WebLogic Serveデータへの不正な更新、挿入、削除アクセスを取得する可能性があります。（CVE-2015-9251）- Oracle Weblogic ServerのWebサービスコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、アクセス可能な一部のOracle WebLogic Serveデータへの不正な読み取りアクセスを取得する可能性があります。（CVE-2019-2887）- Oracle Weblogic ServerのWebサービスコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、アクセス可能な一部のOracle WebLogic Serveデータへの不正な読み取りアクセスを取得する可能性があります。（CVE-2019-2888）- Oracle Weblogic ServerのWebサービスコンポーネントの詳細不明な脆弱性。認証された権限の高いリモートの攻撃者がこれを悪用し、Oracle WebLogic Serverを侵害する可能性があります。（CVE-2019-2890）- Oracle Weblogic Serverのコンソールコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、Oracle WebLogic Serverを侵害する可能性があります。（CVE-2019-2891）- Oracle Weblogic ServerのSOAP with Attachments API for Javaコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、アクセス可能な一部のOracle Webサービスデータへの不正な更新、挿入、削除アクセスに加え、アクセス可能なOracle Webサービスデータのサブセットへの不正な読み取りアクセスを取得する可能性があります。（CVE-2019-2907）- Oracle Weblogic ServerのADF Faces jQueryコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、Oracle JDeveloperとADFを侵害することで、アクセス可能な一部のOracleJDeveloperとADFデータへのアクセスの不正な更新、挿入、削除に加え、アクセス可能なOracleJDeveloperとADFデータのサブセットへの不正な読み取りアクセスを取得する可能性があります。（CVE-2019-11358）- Oracle Weblogic ServerのWeb Container jQueryコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、Oracle Service Busを侵害することで、アクセス可能な一部のService Busデータへの不正な更新、挿入、削除アクセスに加え、アクセス可能なOracle Service Busデータのサブセットへの不正な読み取りアクセスを取得する可能性があります。（CVE-2019-11358）- Oracle Weblogic ServerのコンソールjQueryコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、Oracle WebLogic Serverを侵害することで、アクセス可能な一部のOracle WebLogic Server データへの不正な更新、挿入、削除アクセスに加え、アクセス可能なOracle WebLogic Server データのサブセットへの不正な読み取りアクセスを取得する可能性があります。（CVE-2019-11358）- Oracle Weblogic ServerのWeb Container Faces jQueryコンポーネントの詳細不明な脆弱性。認証されていないリモートの攻撃者がこれを悪用し、Oracle Service Busを侵害することで、アクセス可能な一部のOracle WebLogic Server データへの不正な更新、挿入、削除アクセスに加え、アクセス可能なOracle WebLogic Server データのサブセットへの不正な読み取りアクセスを取得する可能性があります。（CVE-2019-17091）

リモートホストにインストールされているOracle Secure Global Desktopのバージョンには、2020年1月のCritical Patch Update（CPU）からのセキュリティパッチがありません。したがって、複数の脆弱性の影響を受けます。- Core（Apache Axis）コンポーネントにリモートでコードが実行される脆弱性があります。認証されていない近接の攻撃者がこの問題を悪用し、任意のコマンドを実行する可能性があります。（CVE-2019-0227）- Webサーバー（Appache HTTPD Server）のコンポーネントにクロスサイトスクリプティングの脆弱性があります。認証されていないリモートの攻撃者がこの問題を悪用して、mod_proxyエラーページのリンクを無効な形式にし、攻撃者が選択したページに向けさせる可能性があります。（CVE-2019-10092）- クライアントのウィンドウフィールドが不適切に処理されるため、Eclipse（Mojarra）のfaces/context/PartialViewContextImpl.javaにクロスサイトスクリプティングの脆弱性があります。認証されていないリモートの攻撃者がこの問題を悪用し、Oracle Communications Unified Inventory Managementがアクセス可能な一部のデータへの不正な更新、挿入、削除アクセスに加え、Oracle Communications Unified Inventory Managementがアクセス可能なデータのサブセットへの不正な読み取りアクセスを実行する可能性があります。（CVE-2019-17091）

自己報告されたバージョン番号によると、リモートの Web サーバーで実行されている Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) のインストールは、15.2.18.8より前の 15.x、16.2.19.2 より前の 16.x、17.12.16.1 より前の 17.x、18.8.16 より前の 18.8.x、または 19.12.1.0 です。そのため、以下の複数の脆弱性の影響を受けます。

  Primavera P6 Enterprise Project Portfolio Management に認証バイパスの脆弱性があります。認証されていないローカルの攻撃者がこれを悪用して認証をバイパスし、ルート権限で任意のアクションを実行する可能性があります。
    (CVE-2020-2556)

  - Primavera P6 Enterprise Project Portfolio Management に認証バイパスの脆弱性があります。認証されたローカルの攻撃者がこれを悪用し、HTTP を介してネットワークおよび EPPM 上の制御されたデータにアクセスする可能性があります。(CVE-2020-2707)

  - Mojarraコンポーネントの脆弱性により、Primavera P6 Enterprise Project PortfolioにXSSの脆弱性があり、クライアントのウィンドウフィールドが誤って処理されるため折り返し型XSSが引き起こされる可能性があります。(CVE-2019-17091)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているApplication Testing Suiteのバージョンは、2020年7月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Enterprise ManagerのOracle Application Testing Suite製品における脆弱性（コンポーネント：Load Testing for Web Apps（Log4j））。サポートされているバージョンで影響を受けるのは13.3.0.1です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Application Testing Suiteを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Application Testing Suiteの乗っ取りが発生する可能性があります。（CVE-2017-5645）

  - Oracle Enterprise ManagerのOracle Application Testing Suite製品における脆弱性（コンポーネント：Load Testing for Web Apps（Eclipse Mojarra））。サポートされているバージョンで影響を受けるのは、13.2.0.1および13.3.0.1です。
    容易に悪用可能な脆弱性があり、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Application Testing Suiteを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはOracle Application Testing Suiteですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Application Testing Suiteがアクセスできる一部のデータに不正な更新、挿入、削除アクセスが行われたり、さらにOracle Application Testing Suiteがアクセスできるデータのサブセットに不正な読み取りアクセスが行われたりする可能性があります（CVE-2019-17091）。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
130012	Oracle WebLogic Serverの複数の脆弱性（2019年10月CPU）	Nessus	Misc.	2019/10/17	2024/4/17	high
133042	Oracle Secure Global Desktop の複数の脆弱性（2020年1月CPU）	Nessus	Misc.	2020/1/17	2022/12/5	high
133054	Oracle Primavera P6 Enterprise Project Portfolio Management( EPPM) の複数の脆弱性( 2020年1月CPU)	Nessus	CGI abuses	2020/1/17	2024/3/29	high
138610	Oracle Application Testing Suite（2020年7月CPU）	Nessus	Misc.	2020/7/20	2024/3/1	critical

検出

プラグインの検索

high

high

high

critical