このgroovy用の更新プログラムでは、次の問題が修正されています：

	 - groovyは次に更新されました： 2.4.21

  - CVE-2020-17521：情報漏洩の脆弱性を修正しました（bsc#1179729）。

この更新はSUSEからインポートされました：SLE-15-SP2: 更新プロジェクトを更新します。

リモートホストにインストールされている Oracle Business Process Management Suite のバージョンは、2022 年 4 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。詳細：

  - Oracle Fusion Middleware の Oracle Business Process Management Suite 製品の脆弱性 (component: BPM Studio (Apache Groovy))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0および12.2.1.4.0です。簡単に悪用可能な脆弱性によって、権限の低い攻撃者が、Oracle Business Process Management Suite が実行されているインフラストラクチャにログオンし、Oracle Business Process Management Suite を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータに権限なしにアクセスしたり、Oracle Business Process Management Suite がアクセスできるすべてのデータに完全にアクセスしたりする可能性があります。
    (CVE-2020-17521)

  - Oracle Fusion Middleware の Oracle Business Process Management Suite 製品の脆弱性 (component: Installer (jsoup))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0および12.2.1.4.0です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle Business Process Management Suite を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Business Process Management Suite をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりすることができるようになります。(CVE-2021-37714)

  - Oracle Fusion Middleware の Oracle Business Process Management Suite 製品の脆弱性 (component: Runtime Engine (JBoss Enterprise Application Platform))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0および12.2.1.4.0です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle Business Process Management Suite を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Business Process Management Suite の乗っ取りが発生する可能性があります。(CVE-2022-23305)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

自己報告されたバージョン番号によると、リモートホストで実行されているOracle Primavera Unifierのインストールは、16.2.x、17.12.11より前の17.12.xです。したがって、2021年4月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - OracleコンストラクションおよびエンジニアリングのPrimavera Gateway製品の脆弱性（コンポーネント: Admin（JCraft JSch））。サポートされているバージョンで影響を受けるのは、17.12.0-17.12.10です。悪用が難しい脆弱性により、認証されていない攻撃者がHTTPを使用してネットワークにアクセスし、Primavera Gatewayを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやPrimavera Gatewayがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。（CVE-2016-5725）

  - OracleコンストラクションおよびエンジニアリングのPrimavera Gateway製品の脆弱性（コンポーネント: Admin（Apache Groovy））。サポートされているバージョンで影響を受けるのは、17.12.0-17.12.10です。簡単に悪用可能な脆弱性により、権限が低い攻撃者が、Primavera Gatewayが実行されているインフラストラクチャにログオンし、Primavera Gatewayを危険にさらす可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Primavera Gatewayがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。
    （CVE-2020-17521）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョン番号によると、リモートホストで実行されているOracle Primavera Unifierのインストールは、16.2.16.5より前の16.x、17.12.11.7より前の17.x、18.8.18.4より前の18.8.x、19.12.14より前の19.12.x、または20.12.4より前の20.12.xです。したがって、2021年4月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: Core UI（jQuery）。影響を受ける対応バージョンは 16.1、16.2、17.7-17.12、18.8、19.12、20.12 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはPrimavera Unifierですが、攻撃が他の製品に大きな影響を与える可能性があります。
    この脆弱性に対する攻撃が成功すると、権限なしでPrimavera Unifierがアクセスできる一部のデータが更新、挿入、削除されたり、Primavera Unifierがアクセスできるデータのサブセットが権限なしで読み取られたりする可能性があります。（CVE-2020-11022）

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: Core（HTTPクライアント））。影響を受ける対応バージョンは 16.1、16.2、17.7-17.12、18.8、19.12、20.12 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性に対して攻撃が成功すると、Primavera Unifierがアクセスできるいくつかのデータを、権限なしで更新、挿入、または削除可能になります。（CVE-2020-13956）

  - Oracleコンストラクションおよびエンジニアリングの Primavera Unifier 製品の脆弱性（コンポーネント: プラットフォーム（Apache Groovy））。影響を受ける対応バージョンは 16.1、16.2、17.7-17.12、18.8、19.12、20.12 です。
    簡単に悪用可能な脆弱性により、権限が低い攻撃者が、Primavera Unifierが実行されているインフラストラクチャにログオンし、Primavera Unifierを危険にさらす可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Primavera Unifierがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。
    （CVE-2020-17521）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Oracle WebLogic Server のバージョンに、2022 年 10 月の Critical Patch Update (CPU) からのセキュリティパッチがありません。そのため、以下を含む複数の脆弱性による影響を受けます：

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント:  一元化されたサードパーティ Jars (Bouncy Castle Java Library))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。
    悪用が難しい脆弱性があり、認証されていない攻撃者が TLS を介してネットワークにアクセスし、Oracle WebLogic サーバーを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogicサーバーの乗っ取りが発生する可能性があります。
    (CVE-2020-28052)

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント:  一元化されたサードパーティ Jars (Apache Xerces-J))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、権限なく Oracle WebLogic Server をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2022-23437)

  - Oracle Fusion MiddlewareのOracle WebLogic Server製品の脆弱性 (コンポーネント:  一元化されたサードパーティ Jars (Apache Groovy))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。簡単に悪用可能な脆弱性によって、権限の低い攻撃者が、Oracle WebLogic Server が実行されているインフラストラクチャにログオンし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータへの認証されていないアクセスが可能になったり、Oracle WebLogic サーバーがアクセスできるすべてのデータに完全にアクセスできるようになったりします。(CVE-2020-17521)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
145385	openSUSEセキュリティ更新プログラム：groovy（openSUSE-2020-2367）	Nessus	SuSE Local Security Checks	2021/1/25	2024/1/26	medium
159978	Oracle Business Process Management Suite (2022 年 4 月 CPU)	Nessus	Misc.	2022/4/20	2023/11/1	critical
148916	Oracle Primavera Gateway（2021年4月CPU）	Nessus	CGI abuses	2021/4/22	2022/12/5	medium
148918	Oracle Primavera Unifier（2021年4月CPU）	Nessus	CGI abuses	2021/4/22	2023/10/24	medium
166313	Oracle WebLogic Server (2020 年 10 月 CPU)	Nessus	Misc.	2022/10/20	2024/1/4	high

検出

プラグインの検索

medium

critical

medium

medium

high