リモートホストにインストールされている Oracle WebLogic Server のバージョンに、2022 年 7 月の Critical Patch Update (CPU) からのセキュリティパッチがありません。そのため、以下を含む複数の脆弱性による影響を受けます：

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント：サードパーティツール、サンプル (Spring Framework))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogic サーバーの乗っ取りが発生する可能性があります。(CVE-2022-22965)

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント：一元化されたサードパーティ Jar (OWASP Enterprise Security API))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogic サーバーの乗っ取りが発生する可能性があります。(CVE-2022-23457)

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント：一元化されたサードパーティ Jar (Apache Maven))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。
    容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle WebLogic Server がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Oracle WebLogic Server がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。(CVE-2021-26291)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているGoldenGateのAll Supported Versionsのバージョンは、2021年10月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - GoldenGateの脆弱性（コンポーネント：Install（Dell BSAFE Crypto-J））。影響を受けるサポート対象のバージョンは、19.1.0.0.0.210420より前です。容易に悪用可能な脆弱性があり、認証されていない攻撃者がOracle Netを介してネットワークにアクセスし、Oracle GoldenGateを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性による攻撃が成功すると、権限なしで重要なデータにアクセスできるようになるか、Oracle GoldenGateがアクセスできるすべてのデータに完全にアクセスできるようになります。（CVE-2019-3740）

  - Oracle GoldenGateの多層セキュリティ問題（コンポーネント：Install（jQuery））。この脆弱性は、この製品のコンテキストでは悪用できません。（CVE-2020-11023）   
  - Oracle GoldenGateの多層セキュリティ問題（コンポーネント：General（Apache Batik））。この脆弱性は、この製品のコンテキストでは悪用できません。（CVE-2020-11987）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2024:0777-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.9より前の Apache Batik では、batik を使用するサーバーのファイルシステム上にあるファイルが、悪意を持って作成された SVG ファイルを送信する任意のユーザーに公開される可能性があります。表示できるファイルタイプは、悪用可能なアプリケーションが実行されているユーザーコンテキストによって異なります。ユーザーが root である場合、機密ファイルや機密ファイルを含むサーバーが完全に侵害される可能性があります。xml ドキュメント内の参照が増幅攻撃を誘発する可能性があるため、サービス拒否によりサーバーの可用性を攻撃する目的で XXE が使用される可能性もあります。(CVE-2017-5662)

  - Apache Batik は、xlink:href 属性による不適切な入力検証が原因で発生する、サーバー側のリクエスト偽造に対して脆弱です。攻撃者は、特別に細工された引数を使用することで、この脆弱性を悪用して、基盤となるサーバーに任意の GET リクエストを実行させる可能性があります。(CVE-2019-17566)

  - Apache Batik 1.13 は、NodePickerPanel による不適切な入力検証が原因で発生する、サーバー側のリクエスト偽造に対して脆弱です。攻撃者は、特別に細工された引数を使用することで、この脆弱性を悪用して、基盤となるサーバーに任意の GET リクエストを実行させる可能性があります。(CVE-2020-11987)

  - Apache XML Graphics の Batik にあるサーバーサイドリクエスト偽造 (SSRF) の脆弱性により、攻撃者が jar プロトコルを通じて URL をロードする可能性があります。この問題は、Apache XML Graphics Batik 1.14 に影響します。(CVE-2022-38398)

  - Apache XML Graphics の Batik にあるサーバーサイドリクエスト偽造 (SSRF) の脆弱性により、攻撃者が外部リソースをフェッチする可能性があります。この問題は、Apache XML Graphics Batik 1.14 に影響します。(CVE-2022-38648)

  - Apache XML Graphics の Batik にあるサーバーサイドリクエスト偽造 (SSRF) の脆弱性により、攻撃者が Jar URL を使用してファイルにアクセスする可能性があります。この問題は、Apache XML Graphics Batik 1.14 に影響します。(CVE-2022-40146)

  - Apache XML Graphics の Batik の脆弱性により、攻撃者が SVG から信頼できない Java コードを実行する可能性があります。
    この問題は、1.16 より前の Apache XML Graphics に影響します。バージョン 1.16 にアップデートすることをお勧めします。
    (CVE-2022-41704)

  - Apache XML Graphics の Batik の脆弱性により、攻撃者が信頼できない SVG から JavaScript を介して Java コードを実行する可能性があります。この問題は、1.16 より前の Apache XML Graphics に影響します。ユーザーは、バージョン 1.16 にアップグレードすることをお勧めします。(CVE-2022-42890)

  - Apache Software Foundation Apache XML Graphics Batik のサーバーサイドリクエストフォージェリ (SSRF) の脆弱性。この問題は、Apache XML Graphics Batik 1.16 に影響を与えます。バージョン 1.16 では、悪意のある SVG がデフォルトで外部リソースの読み込みをトリガーし、リソースの消費や、場合によっては情報漏洩を引き起こす可能性があります。ユーザーは、バージョン 1.17 以降にアップグレードすることをお勧めします。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik のサーバーサイドリクエストフォージェリ (SSRF) の脆弱性。この問題は、Apache XML Graphics Batik 1.16 に影響を与えます。悪意のある SVG は、ユーザープロファイル/データをプローブし、それをパラメーターとして URL に直接送信する可能性があります。(CVE-2022-44730)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行中のIBM WebSphere Application Serverのバージョンは、8.0.0.0～8.0.0.15、8.5.5.18より前の8.5.0.x、9.0.5.5より前の9.0.xです。したがって、xlink: href属性よる不適切な入力検証のために、サーバーサイドリクエスト偽造の脆弱性の影響を受けます。認証されていないリモートの攻撃者がこれを悪用して、下層のサーバーに任意のGETリクエストを行わせる可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このxmlgraphics-batikの更新では、次の問題を修正します：

  - CVE-2019-17566：基礎となるサーバーが任意のGETリクエストを発行できる可能性のあるSSRFを修正しました（bsc#1172961）。

この更新はSUSEからインポートされました：SLE-15-SP1：更新プロジェクトを更新します。

リモートホストにインストールされているOracleデータベースサーバーのバージョンは、2021年7月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database ServerのAdvanced Networking Optionコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。悪用が難しい脆弱性ですが、認証されていない攻撃者がOracle Netを使用してネットワークにアクセスし、Advanced Networking Optionを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはAdvanced Networking Optionですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性への攻撃が成功した場合、Advanced Networking Optionの乗っ取りが発生する可能性があります。（CVE-2021-2351）

  - Oracle Database ServerのOracle Textコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。容易に悪用可能な脆弱性により、権限の高い攻撃者が、Oracle Netを介したネットワークアクセスによりCreate Any Procedure、Alter Any Table権限を取得し、Oracle Textを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle Textの乗っ取りが発生する可能性があります。（CVE-2021-2328）

  - Oracle Database ServerのOracle XML DBコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。脆弱性が容易に悪用できるため、権限の高い攻撃者が、Oracle Netを介したネットワークアクセスによりCreate Any Procedure、Create Public Synonym権限を取得し、Oracle XML DBを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle XML DBの乗っ取りが発生する可能性があります。
    （CVE-2021-2329）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

- 最新のUpstreamリリースのEclipseに更新してください。詳細については、 Upstreamリリースノートを参照してください：
https://www.eclipse.org/eclipseide/2020-06/noteworthy/

また、CVE-2019-17566およびCVE-2019-17638のセキュリティ修正も含まれています。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS / 22.04 LTS ホストには、USN-6117-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Batik は、xlink: href 属性による不適切な入力検証が原因で発生する、サーバー側のリクエスト偽造に対して脆弱です。攻撃者は、特別に細工された引数を使用することで、この脆弱性を悪用して、基盤となるサーバーに任意の GET リクエストを実行させる可能性があります。(CVE-2019-17566)

  - Apache Batik 1.13 は、NodePickerPanel による不適切な入力検証が原因で発生する、サーバー側のリクエスト偽造に対して脆弱です。攻撃者は、特別に細工された引数を使用することで、この脆弱性を悪用して、基盤となるサーバーに任意の GET リクエストを実行させる可能性があります。(CVE-2020-11987)

  - Apache XML Graphics の Batik にあるサーバーサイドリクエスト偽造 (SSRF) の脆弱性により、攻撃者が jar プロトコルを通じて URL をロードする可能性があります。この問題は、Apache XML Graphics Batik 1.14 に影響します。(CVE-2022-38398)

  - Apache XML Graphics の Batik にあるサーバーサイドリクエスト偽造 (SSRF) の脆弱性により、攻撃者が外部リソースをフェッチする可能性があります。この問題は、Apache XML Graphics Batik 1.14 に影響します。(CVE-2022-38648)

  - Apache XML Graphics の Batik にあるサーバーサイドリクエスト偽造 (SSRF) の脆弱性により、攻撃者が Jar URL を使用してファイルにアクセスする可能性があります。この問題は、Apache XML Graphics Batik 1.14 に影響します。(CVE-2022-40146)

  - Apache XML Graphics の Batik の脆弱性により、攻撃者が SVG から信頼できない Java コードを実行する可能性があります。
    この問題は、1.16 より前の Apache XML Graphics に影響します。バージョン 1.16 にアップデートすることをお勧めします。
    (CVE-2022-41704)

  - Apache XML Graphics の Batik の脆弱性により、攻撃者が信頼できない SVG から JavaScript を介して Java コードを実行する可能性があります。この問題は、1.16 より前の Apache XML Graphics に影響します。ユーザーは、バージョン 1.16 にアップグレードすることをお勧めします。(CVE-2022-42890)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
163298	Oracle WebLogic Server (2020 年 7 月 CPU)	Nessus	Misc.	2022/7/20	2024/1/4	critical
154342	Oracle GoldenGate（2021年10月CPU）	Nessus	Misc.	2021/10/22	2023/11/28	high
191700	SUSE SLES12 セキュリティ更新: xmlgraphics-batik (SUSE-SU-2024:0777-1)	Nessus	SuSE Local Security Checks	2024/3/7	2024/3/8	high
142059	IBM WebSphere Application Server 8.0.0.x <= 8.0.0.15/8.5.x < 8.5.5.18/9.0.x < 9.0.5.5のSSRF（CVE-2019-17566）	Nessus	Web Servers	2020/10/30	2022/12/5	high
138698	openSUSEセキュリティ更新プログラム：xmlgraphics-batik（openSUSE-2020-851）	Nessus	SuSE Local Security Checks	2020/7/20	2024/2/29	high
152026	Oracleデータベースサーバーの複数の脆弱性（2021年7月のCPU）	Nessus	Databases	2021/7/23	2023/12/6	critical
140107	Fedora 32：1: ecj / 1：eclipse / 1：eclipse-emf / 2：eclipse-cdt / batik / etc（2020-cf8ef2f333）	Nessus	Fedora Local Security Checks	2020/9/1	2024/2/22	critical
176489	Ubuntu 16.04ESM / 18.04LTS / 20.04LTS / 22.04LTS : Apache Batik の脆弱性 (USN-6117-1)	Nessus	Ubuntu Local Security Checks	2023/5/30	2023/10/16	high

検出

プラグインの検索

critical

high

high

high

high

critical

critical

high