遠端主機上安裝的 Enterprise Manager Base Platform 13.4.0.0 和 13.5.0.0 版本會受到 2023 年 1 月 CPU 公告中提及的一個弱點影響。

  - Oracle Enterprise Manager 的 Enterprise Manager Base Platform 產品中的弱點 (元件：
    Agent 管理）。受影響的支援版本是 13.4.0.0 和 13.5.0.0。Apache Commons Text 可執行變數插補，允許動態評估和擴展屬性。插補的標準格式為「${prefix:name}」，其中 prefix 用於尋找執行插補的 org.apache.commons.text.lookup.StringLookup 執行個體。從 1.5 版直到 1.9 版，預設的 Lookup 執行個體組包含可導致任意程式碼執行或與遠端伺服器聯絡的內插程式。這些 Lookup 是：- script - 使用 JVM 指令碼執行引擎 (javax.script) 執行運算式 - dns - 解析 dns 記錄 - url - 從 url 載入值，包括從遠端伺服器載入。使用受影響版本中內插預設值的應用程式可能容易遭受遠端程式碼執行攻擊，或容易意外連線遠端伺服器 (如果使用未受信任的組態值)。(CVE-2022-42889)

    請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Enterprise Manager Agent (2023 年 1 月 CPU)

critical Nessus Plugin ID 192753

版本 1.0