远程主机上安装的 Oracle WebCenter Portal 版本缺少 2023 年 10 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响：

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：讨论论坛 (OSCORE)）。支持的版本中受影响的是 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功攻击此漏洞可导致接管 Oracle WebCenter Portal。(CVE-2023-39022)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：开发工具 (Apache Commons BCEL)）。支持的版本中受影响的是 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle Documaker。成功利用此漏洞进行攻击可导致接管 Oracle Documaker。(CVE-2022-42920)

  - Oracle Database Server 的 Oracle Database Workload Manager (jackson-databind) 组件中存在深层安全问题。无法在此产品环境中利用此漏洞 (CVE-2022-42004)

请注意，Nessus 并不试图利用此问题，而只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 4676 公告中提及的多个漏洞的影响。

  - resteasy：错误消息泄露端点类信息 (CVE-2021-20289)

  - mina-sshd-core：Apache Mina SSHD 服务器中存在内存泄漏拒绝服务问题 (CVE-2021-30129)

  - undertow：基于 HTTP/2 的流控制中存在潜在安全问题，可导致 DOS (CVE-2021-3629)

  - wildfly：JBOSS_LOCAL_USER 质询位置不正确，可导致向所有本地用户授予访问权限 (CVE-2021-3717)

  - jsoup：构建的输入可导致 jsoup HTML 和 XML 解析器卡住 (CVE-2021-37714)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2021: 5149 公告中提及的一个漏洞影响。

  - resteasy：错误消息泄露端点类信息 (CVE-2021-20289)

  - undertow：基于 HTTP/2 的流控制中存在潜在安全问题，可导致 DOS (CVE-2021-3629)

  - wildfly-elytron：ScramServer 中存在潜在时序攻击 (CVE-2021-3642)

  - wildfly：JBOSS_LOCAL_USER 质询位置不正确，可导致向所有本地用户授予访问权限 (CVE-2021-3717)

  - jsoup：构建的输入可导致 jsoup HTML 和 XML 解析器卡住 (CVE-2021-37714)

  - xml-security：XPath 转换滥用可导致信息泄露 (CVE-2021-40690)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2022 年 4 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响：

  - 捆绑的 jackson-databind 组件中存在 XML 外部实体漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而访问、创建或删除 Oracle WebCenter Portal 可访问的所有数据。（CVE-2020-25649）

  - 捆绑的 Apache Tika、jsoup、Netty 和 Apache Commons Compress 组件中存在拒绝服务漏洞，这些漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而造成 Oracle WebCenter Portal 挂起或频繁反复崩溃。（CVE-2020-28657、CVE-2021-36090、CVE-2021-37137、CVE-2021-37714）

  - 捆绑的 Apache Commons IO 组件中存在路径遍历漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而读取、更新或删除 Oracle WebCenter Portal 可访问的一部分数据。
    (CVE-2021-29425)

  - 捆绑的 Apache PDFBox 组件中存在拒绝服务漏洞，该漏洞允许未经身份验证的攻击者登录执行 Oracle WebCenter Portal 的基础架构，并与其他用户进行人工交互，从而造成 Oracle WebCenter Portal 挂起或频繁反复崩溃。（CVE-2021-31912）

  - 捆绑的 CKEditor 组件中存在跨站脚本漏洞，该漏洞允许低权限攻击者进行网络访问，并与其他用户进行人工交互，从而读取、更新或删除 Oracle WebCenter Portal 可访问的一部分数据。（CVE-2021-41165）

  - 捆绑的 Apache Log4J 组件中存在远程代码执行漏洞，该漏洞允许高权限攻击者通过 HTTP 进行网络访问，从而在 Oracle WebCenter Portal 上执行任意代码。（CVE-2021-44832）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
183294	Oracle WebCenter Portal 多个漏洞（2023 年 10 月 CPU）	Nessus	Misc.	2023/10/18	2023/10/24	critical
155386	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.4.2 安全更新（中等）(RHSA-2021: 4676)	Nessus	Red Hat Local Security Checks	2021/11/17	2024/11/7	high
156109	RHEL 6：RHEL 6 上的 Red Hat JBoss Enterprise Application Platform 7.3.10 安全更新（中等）(RHSA-2021: 5149)	Nessus	Red Hat Local Security Checks	2021/12/15	2024/11/7	high
159954	Oracle WebCenter Portal 多个漏洞（2022 年 4 月 CPU）	Nessus	Misc.	2022/4/20	2023/10/24	high

偵測

搜尋 Plugin

critical

high

high

high