リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2022: 1420アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - xstream：高度に再帰的なコレクションまたはマップを注入すると、DoS が発生する可能性があります (CVE-2021-43859)

  - workflow-cps: 細工された SCM コンテンツを通じた OS コマンドの実行 (CVE-2022-25173)

  - workflow-cps-global-lib: 細工された SCM コンテンツを通じた OS コマンドの実行 (CVE-2022-25174)

  - workflow-multibranch: 細工された SCM コンテンツを通じた OS コマンドの実行 (CVE-2022-25175)

  - workflow-cps: パイプライン関連のプラグインがシンボリックリンクに従うか、パス名を制限しない (CVE-2022-25176)

  - workflow-cps-global-lib: パイプライン関連のプラグインがシンボリックリンクに従うか、パス名を制限しない (CVE-2022-25177、CVE-2022-25178)

  - workflow-multibranch: パイプライン関連のプラグインがシンボリックリンクに従うか、パス名を制限しない (CVE-2022-25179)

  - workflow-cps: パスワードパラメーターは、元のビルドの再生されたビルドに含まれています (CVE-2022-25180)

  - workflow-cps-global-lib: サンドボックスバイパスの脆弱性 (CVE-2022-25181、 CVE-2022-25182、 CVE-2022-25183)

  - パイプライン構築ステップ：公開されたパスワードパラメーターのデフォルト値 (CVE-2022-25184)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Web サーバーで実行されている Jenkins Enterprise または Jenkins Operations Center のバージョンは、2.277.43.0.6 より前の 2.277.x、2.303.30.0.5 より前の 2.303.x、および 2.319.3.3より前の 2.xです。そのため、以下の複数の脆弱性の影響を受けます。

  - XStream は、オブジェクトを XML にシリアル化したり戻したりするためのオープンソースの Java ライブラリです。1.4.19 より前のバージョンでは、この脆弱性により、リモート攻撃者が CPU の種類やペイロードのパラレル実行によっては 100％ の CPU 時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。XStream 1.4.19は要素をコレクションに追加するのにかかる時間を監視して累積し、設定されたしきい値を超えた場合に例外をスローします。ユーザーは、至急アップグレードすることが勧められています。
    アップグレードできないユーザーは、再帰を防ぐために NO_REFERENCE モードを設定する可能性があります。アップグレードが不可能な場合の回避策の詳細については、GHSA-rmr5-cpv2-vgjf を参照してください。(CVE-2021-43859)

  -Jenkins 2.333以前、LTS 2.319.2以前は、脆弱性 CVE-2021-43859に対する保護を適用するために更新されていないカスタム XStream コンバーターを定義しており、制約なくリソースを使用できるようにします。 (CVE-2022-0538)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 9 ホストには、dla-2924 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - XStream は、オブジェクトを XML にシリアル化したり戻したりするためのオープンソースの Java ライブラリです。1.4.19 より前のバージョンでは、この脆弱性により、リモート攻撃者が CPU の種類やペイロードのパラレル実行によっては 100％ の CPU 時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。XStream 1.4.19は要素をコレクションに追加するのにかかる時間を監視して累積し、設定されたしきい値を超えた場合に例外をスローします。ユーザーは、至急アップグレードすることが勧められています。
    アップグレードできないユーザーは、再帰を防ぐために NO_REFERENCE モードを設定する可能性があります。アップグレードが不可能な場合の回避策の詳細については、GHSA-rmr5-cpv2-vgjf を参照してください。(CVE-2021-43859)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートのSUSE Linux SUSE15ホストには、openSUSE-SU-2022:0817-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - XStream は、オブジェクトを XML にシリアル化したり戻したりするためのオープンソースの Java ライブラリです。1.4.19 より前のバージョンでは、この脆弱性により、リモート攻撃者が CPU の種類やペイロードのパラレル実行によっては 100％ の CPU 時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。XStream 1.4.19は要素をコレクションに追加するのにかかる時間を監視して累積し、設定されたしきい値を超えた場合に例外をスローします。ユーザーは、至急アップグレードすることが勧められています。
    アップグレードできないユーザーは、再帰を防ぐために NO_REFERENCE モードを設定する可能性があります。アップグレードが不可能な場合の回避策の詳細については、GHSA-rmr5-cpv2-vgjf を参照してください。(CVE-2021-43859)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0b0ad196-1ee8-4a98-89b1-4d5d82af49a9 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - XStream は、オブジェクトを XML にシリアル化したり戻したりするためのオープンソースの Java ライブラリです。1.4.19 より前のバージョンでは、この脆弱性により、リモート攻撃者が CPU の種類やペイロードのパラレル実行によっては 100％ の CPU 時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。XStream 1.4.19は要素をコレクションに追加するのにかかる時間を監視して累積し、設定されたしきい値を超えた場合に例外をスローします。ユーザーは、至急アップグレードすることが勧められています。
    アップグレードできないユーザーは、再帰を防ぐために NO_REFERENCE モードを設定する可能性があります。アップグレードが不可能な場合の回避策の詳細については、GHSA-rmr5-cpv2-vgjf を参照してください。(CVE-2021-43859)

  -Jenkins 2.333以前、LTS 2.319.2以前は、脆弱性 CVE-2021-43859に対する保護を適用するために更新されていないカスタム XStream コンバーターを定義しており、制約なくリソースを使用できるようにします。 (CVE-2022-0538)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている WebCenter Sites のバージョン 12.2.1.3.0 および 12.2.1.4.0 は、2022 年 10 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Fusion Middleware の Oracle WebCenter Sites 製品の脆弱性 (コンポーネント: 一元化されたサードパーティ Jars (dojo) )。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebCenter Sites を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebCenter Sitesの乗っ取りが発生する可能性があります。(CVE-2021-23450)

  - Oracle Fusion Middleware の Oracle WebCenter Sites 製品の脆弱性 (コンポーネント: WebCenter Sites (XStream) )。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebCenter Sites を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle WebCenter Sites をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりする可能性があります。(CVE-2021-43859)

  - Oracle Fusion Middleware の Oracle WebCenter Sites 製品の脆弱性 (コンポーネント: WebCenter Sites (CKEditor))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebCenter Sites を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle WebCenter Sites をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりする可能性があります。(CVE-2022-24729)

  - CVE-2022-32532	- Oracle Fusion Middleware の Oracle WebCenter Sites 製品の脆弱性 (コンポーネント: WebCenter Sites (Apache Shiro) )。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebCenter Sites を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebCenter Sitesの乗っ取りが発生する可能性があります。(CVE-2022-32532)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているJenkinsのバージョンは、2.319.3より前のJenkins LTSまたは2.334より前のJenkins weeklyです。そのため、以下の複数の脆弱性の影響を受けます。

  - XStream は、オブジェクトを XML にシリアル化したり戻したりするためのオープンソースの Java ライブラリです。1.4.19 より前のバージョンでは、この脆弱性により、リモート攻撃者が CPU の種類やペイロードのパラレル実行によっては 100％ の CPU 時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。XStream 1.4.19は要素をコレクションに追加するのにかかる時間を監視して累積し、設定されたしきい値を超えた場合に例外をスローします。ユーザーは、至急アップグレードすることが勧められています。
    アップグレードできないユーザーは、再帰を防ぐために NO_REFERENCE モードを設定する可能性があります。アップグレードが不可能な場合の回避策の詳細については、GHSA-rmr5-cpv2-vgjf を参照してください。(CVE-2021-43859)

  -Jenkins 2.333以前、LTS 2.319.2以前は、脆弱性 CVE-2021-43859に対する保護を適用するために更新されていないカスタム XStream コンバーターを定義しており、制約なくリソースを使用できるようにします。（CVE-2022-0538）

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2022:0817-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - XStream は、オブジェクトを XML にシリアル化したり戻したりするためのオープンソースの Java ライブラリです。1.4.19 より前のバージョンでは、この脆弱性により、リモート攻撃者が CPU の種類やペイロードのパラレル実行によっては 100％ の CPU 時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。XStream 1.4.19は要素をコレクションに追加するのにかかる時間を監視して累積し、設定されたしきい値を超えた場合に例外をスローします。ユーザーは、至急アップグレードすることが勧められています。
    アップグレードできないユーザーは、再帰を防ぐために NO_REFERENCE モードを設定する可能性があります。アップグレードが不可能な場合の回避策の詳細については、GHSA-rmr5-cpv2-vgjf を参照してください。(CVE-2021-43859)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Oracle WebCenter Portal のバージョンには、2022 年 10 月の Critical Patch Update (CPU) からのセキュリティパッチがありません。したがって、以下の複数の脆弱性による影響を受けます:

  - Oracle Communications アプリケーションの Oracle Communications Convergence 製品における脆弱性 (コンポーネント: フレームワーク (dojo))。サポートされているバージョンで影響を受けるのは 3.0.3.0 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle Communications Convergence を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Communications Convergence の乗っ取りが発生する可能性があります。(CVE-2021-23450)

  - Oracle Fusion Middleware の Oracle WebCenter Portal製品の脆弱性（コンポーネント：セキュリティフレームワーク (jackson-databind))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebCenter Portalを侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle WebCenter Portal をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりする可能性があります。(CVE-2020-36518)

  - Oracle Fusion Middleware の Oracle WebCenter Portal製品の脆弱性（コンポーネント：セキュリティフレームワーク (Apache Santuario XML Security For Java))。サポートされているバージョンで影響を受けるのは、12.2.1.3.0 および 12.2.1.4.0 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebCenter Portalを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータに不正にアクセスしたり、Oracle WebCenter Portal のすべてのアクセス可能データに対する完全なアクセス権を取得したりする可能性があります。(CVE-2021-40690)

Nessus はこの問題を利用しておらず、代わりにアプリケーションの自己報告バージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
160255	RHEL 7: OpenShift Container Platform 3.11.685(RHSA-2022: 1420)	Nessus	Red Hat Local Security Checks	2022/4/27	2024/4/28	high
158672	Jenkins Enterprise and Operations Center 2.277.x< 2.277.43.0.6/ 2.303.x< 2.303.30.0.5/ 2.319.3.3複数の DoS (CloudBees セキュリティアドバイザリ 2022 年 2 月 9 日)	Nessus	CGI abuses	2022/3/7	2023/11/6	high
158084	Debian DLA-2924-1: libxstream-java - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/2/16	2023/11/9	high
159047	openSUSE 15 セキュリティ更新: xstream (openSUSE-SU-2022:0817-1)	Nessus	SuSE Local Security Checks	2022/3/17	2023/11/3	high
157887	FreeBSD: jenkins -- バンドルされた XStream ライブラリの DoS 脆弱性 (0b0ad196-1ee8-4a98-89b1-4d5d82af49a9)	Nessus	FreeBSD Local Security Checks	2022/2/11	2023/11/9	high
166377	Oracle WebCenter Sites (2022 年 10 月 CPU)	Nessus	Windows	2022/10/21	2023/10/9	critical
157860	Jenkins LTS < 2.319.3/ Jenkins weekly < 2.334の複数の脆弱性	Nessus	CGI abuses	2022/2/9	2023/11/9	high
158908	SUSE SLED15/SLES15 セキュリティ更新プログラム: xstream(SUSE-SU-2022:0817-1)	Nessus	SuSE Local Security Checks	2022/3/15	2023/7/14	high
166335	Oracle WebCenter Portal の複数の脆弱性 (2022 年 10 月 CPU)	Nessus	Misc.	2022/10/20	2023/10/24	critical

検出

プラグインの検索

high

high

high

high

high

critical

high

high

critical