Oracle Primavera Gateway 多個弱點 (2020 年 1 月 CPU)

critical Nessus Plugin ID 132936

語系：

概要

遠端 Web 伺服器上執行的應用程式受到多個弱點的影響。

說明

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Oracle Primavera Gateway 為 15.2.18 之前的 15.x 版、16.2.11 之前的 16.x 版、17.12.6 之前的 17.x 版，或 18.8.8.1 之前的 18.x 版。因此會受到多個弱點影響，其中包括下列弱點：- 與 com.zaxxer.hikari.HikariDataSource 相關之 FasterXML jackson-databind 中所存在的兩個多型態輸入問題，而這些問題可能會被未經驗證的遠端攻擊者惡意利用。(CVE-2019-16335、CVE-2019-14540) - 因 Apache Axis 中的 getCN 函式未正確驗證伺服器主機名稱是否符合 X.509 憑證之主體的一般名稱 (CN) 或 subjectAltName 欄位中的網域名稱，而造成中間人弱點。未經驗證的遠端攻擊者可惡意利用此弱點，透過其主體在非 CN 欄位中指定一般名稱的憑證偽造 SSL 伺服器。(CVE-2014-3596) - Apache Axis 中存在一個可被未經驗證之遠端攻擊者惡意利用的伺服器端要求偽造 (SSRF) 弱點。(CVE-2019-0227) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。