Oracle Primavera Unifier (2021 年 4 月 CPU)
medium Nessus Plugin ID 148918
語系：
概要
遠端主機受到多個弱點影響說明
根據其自我報告版本號碼，遠端主機上執行的 Oracle Primavera Unifier 安裝版本為 16.2.16.5 之前的 16.x 版、17.12.11.7 之前的 17.x 版、18.8.18.4 之前的 18.8.x 版、19.12.14 之前的 19.12.x 版或 20.12.4 之前的 20.12.x 版。因此，該產品受到「2021 年 4 月 CPU」公告中提及的多個弱點影響。- Oracle Construction and Engineering 的 Primavera Unifier 產品中的弱點 (元件：Core UI (jQuery))。受到影響的支援版本為 16.1、16.2、17.7-17.12、18.8、 19.12 和 20.12。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Primavera Unifier。若要成功攻擊，必須有攻擊者以外之他人的互動，且雖然弱點位於 Primavera Unifier 中，但攻擊可能對其他產品造成重大影響。
若攻擊成功，攻擊者未經授權即可更新、插入或刪除某些可存取的 Primavera Gateway 資料，以及讀取可存取的 Primavera Unifier 資料的子集。(CVE-2020-11022)
- Oracle Construction and Engineering 的 Primavera Unifier 產品中的弱點 (元件：Core (HTTP Client))。受到影響的支援版本為 16.1、16.2、17.7-17.12、18.8、 19.12 和 20.12。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Primavera Unifier。若攻擊成功，攻擊者未經授權即可更新、插入或刪除某些可存取的 Primavera Unifier 資料。(CVE-2020-13956)
- Oracle Construction and Engineering 的 Primavera Unifier 產品中的弱點 (元件：Platform (Apache Groovy))。受到影響的支援版本為 16.1、16.2、17.7-17.12、18.8、 19.12 和 20.12。
攻擊此弱點的難度較低，低權限的攻擊者可以登入執行 Primavera Unifier 的基礎結構，以危害 Primavera Unifier。若攻擊成功，攻擊者未經授權即可存取重要資料，或完整存取所有可存取的 Primavera Unifier 資料。
(CVE-2020-17521)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。
解決方案
按照 2021 年 4 月 Oracle 重要修補程式更新公告，套用適當的修補程式。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 148918
檔案名稱: oracle_primavera_unifier_cpu_apr_2021.nasl
版本: 1.7
類型: remote
系列: CGI abuses
已發布: 2021/4/22
已更新: 2023/10/24
組態: 啟用徹底檢查
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.7
CVSS v2
風險因素: Medium
基本分數: 5
時間分數: 3.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 評分資料來源: CVE-2020-13956
CVSS v3
風險因素: Medium
基本分數: 6.1
時間分數: 5.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2020-11023
弱點資訊
CPE: cpe:/a:oracle:primavera_unifier
必要的 KB 項目: installed_sw/Oracle Primavera Unifier, www/weblogic
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2021/3/23
弱點發布日期: 2020/12/2
參考資訊
CVE: CVE-2020-11022, CVE-2020-11023, CVE-2020-13956, CVE-2020-17521
IAVA: 2023-A-0559