遠端主機上安裝的 Oracle Access Manager 版本受到 Web 伺服器外掛程式子元件中的一個資訊洩漏弱點影響，該弱點是因為隨附的 OpenSSL 程式庫中存在多個瑕疵所導致，特別是檔案 crypto/evp/e_aes_cbc_hmac_sha1.c 內的 aesni_cbc_hmac_sha1_cipher() 函式及檔案 crypto/evp/e_aes_cbc_hmac_sha256.c 內的 aesni_cbc_hmac_sha256_cipher() 函式，連線使用 AES-CBC 密碼且伺服器支援 AES-NI 時，可觸發這些瑕疵。攔截式攻擊者可惡意利用這些瑕疵，發動 padding oracle 攻擊，進而解密網路流量。

偵測

Oracle Access Manager Webgate 資訊洩漏 (2016 年 7 月 CPU)

medium Nessus Plugin ID 93121

版本 1.369