The version of Oracle E-Business installed on the remote host is missing the October 2016 Oracle Critical Patch Update (CPU). It is, therefore, affected by multiple vulnerabilities :

  - A heap buffer overflow condition exists in the OpenSSL     subcomponent in the EVP_EncodeUpdate() function within     file crypto/evp/encode.c that is triggered when handling     a large amount of input data. An unauthenticated, remote     attacker can exploit this to cause a denial of service     condition. (CVE-2016-2105)

  - A heap buffer overflow condition exists in the OpenSSL     subcomponent in the EVP_EncryptUpdate() function within     file crypto/evp/evp_enc.c that is triggered when     handling a large amount of input data after a previous     call occurs to the same function with a partial block.
    An unauthenticated, remote attacker can exploit this to     cause a denial of service condition. (CVE-2016-2106)

  - Multiple flaws exist in the OpenSSL subcomponent in the     aesni_cbc_hmac_sha1_cipher() function in file     crypto/evp/e_aes_cbc_hmac_sha1.c and the     aesni_cbc_hmac_sha256_cipher() function in file     crypto/evp/e_aes_cbc_hmac_sha256.c that are triggered     when the connection uses an AES-CBC cipher and AES-NI     is supported by the server. A man-in-the-middle attacker     can exploit these to conduct a padding oracle attack,     resulting in the ability to decrypt the network traffic.
    (CVE-2016-2107)

  - Multiple unspecified flaws exist in the OpenSSL     subcomponent in the d2i BIO functions when reading ASN.1     data from a BIO due to invalid encoding causing a large     allocation of memory. An unauthenticated, remote     attacker can exploit these to cause a denial of service     condition through resource exhaustion. (CVE-2016-2109)

  - An out-of-bounds read error exists in the OpenSSL     subcomponent in the X509_NAME_oneline() function within     file crypto/x509/x509_obj.c when handling very long ASN1     strings. An unauthenticated, remote attacker can exploit     this to disclose the contents of stack memory.
    (CVE-2016-2176)

  - An unspecified flaw exists in the Runtime Catalog     subcomponent in the iStore component that allows an     unauthenticated, remote attacker to impact     confidentiality and integrity. (CVE-2016-5489)

  - An unspecified flaw exists in the AD Utilities     subcomponent in the Applications DBA component that     allows a local attacker to disclose sensitive     information. (CVE-2016-5517)  
  - An unspecified flaw exists in the Workflow Events     subcomponent in the Shipping Execution component that     allows an unauthenticated, remote attacker to disclose     sensitive information. (CVE-2016-5532)

  - An unspecified flaw exists in the Price Book     subcomponent in the Advanced Pricing component that     allows an unauthenticated, remote attacker to impact     confidentiality and integrity. (CVE-2016-5557)

  - An unspecified flaw exists in the Requisition Management     subcomponent in the iProcurement component that allows     an unauthenticated, remote attacker to impact     confidentiality and integrity. (CVE-2016-5562)

  - Multiple unspecified flaws exist in the AD Utilities     subcomponent in the DBA component that allow an     authenticated, remote attacker to impact confidentiality     and integrity. (CVE- 2016-5567, CVE-2016-5570,     CVE-2016-5571)

  - An unspecified flaw exists in the Resources Module     subcomponent in the Common Applications Calendar     component that allows an unauthenticated, remote     attacker to disclose sensitive information.
    (CVE-2016-5575)

  - An unspecified flaw exists in the Candidate Self Service     subcomponent in the iRecruitment component that allows a     local attacker to gain elevated privileges.
    (CVE-2016-5581)

  - An unspecified flaw exists in the File Upload     subcomponent in the One-to-One Fulfillment component     that allows an unauthenticated, remote attacker to     impact integrity. (CVE-2016-5583)

  - An unspecified flaw exists in the Select Application     Dependencies subcomponent in the Interaction Center     Intelligence component that allow an unauthenticated,     remote attacker to impact confidentiality and integrity.
    (CVE-2016-5585)

  - An unspecified flaw exists in the Dispatch/Service Call     Requests subcomponent in the Email Center component that     allow an unauthenticated, remote attacker to impact     confidentiality and integrity. (CVE-2016-5586)

  - Multiple unspecified flaws exist in the Outcome-Result     subcomponent in the Customer Interaction History     component that allow an unauthenticated, remote     attacker to impact confidentiality and integrity.
    (CVE-2016-5587, CVE-2016-5591, CVE-2016-5593)

  - An unspecified flaw exists in the Responsibility     Management subcomponent in the CRM Technical Foundation     component that allows an unauthenticated, remote     attacker to impact confidentiality and integrity.
    (CVE-2016-5589)

  - Multiple unspecified flaws exist in the Result-Reason     subcomponent in the Customer Interaction History     component that allow an unauthenticated, remote attacker     to impact confidentiality and integrity. (CVE-2016-5592,     CVE-2016-5595)

  - An unspecified flaw exists in the Default Responsibility     subcomponent in the CRM Technical Foundation component     that allows an unauthenticated, remote attacker to     disclose sensitive information. (CVE-2016-5596)

リモートホストにインストールされたOracle E-Businessのバージョンに、2016年10月Oracleクリティカルパッチ更新（CPU）がありません。したがって、以下の複数の脆弱性による影響を受けます。

  - crypto/evp/encode.c ファイル内の EVP_EncodeUpdate() 関数の OpenSSL サブコンポーネントに、ヒープバッファオーバーフロー状態が存在します。これは、大量の入力データを処理する際に引き起こされます。認証されていないリモートの攻撃者がこれを悪用し、サービス拒否状態を引き起こす可能性があります。（CVE-2016-2105）

  -crypto/evp/evp_enc.cファイルのEVP_EncryptUpdate()関数のOpenSSLサブコンポーネントにヒープバッファオーバーフロー状態があります。これは、同じ関数に対してパーシャルブロックを使用するコールが以前に発生した後、大量の入力データを処理するときに引き起こされます。
    認証されていないリモートの攻撃者がこれを悪用し、サービス拒否状態を引き起こす可能性があります。（CVE-2016-2106）

  - crypto/evp/e_aes_cbc_hmac_sha1.cファイル内のaesni_cbc_hmac_sha1_cipher()関数およびcrypto/evp/e_aes_cbc_hmac_sha256.cファイル内の　aesni_cbc_hmac_sha256_cipher()関数のOpenSSLサブコンポーネントに、接続がAES-CBC 暗号を使用し、AES-NIがサーバーによってサポートされている場合に引き起こされる複数の欠陥が存在します。中間にいる攻撃者がこれらを悪用し、パディングオラクル攻撃を通じて、ネットワークトラフィックを復号する機能を取得する可能性があります。
    （CVE-2016-2107）

  -大量のメモリ割り当てを引き起こす無効なエンコーディングのため、BIOからASN.1データを読み込んだとき、複数の詳細不明な欠陥がd2i BIO関数のOpenSSLサブコンポーネントにあります。認証されていないリモートの攻撃者がこれらを悪用し、リソースを枯渇させてサービス拒否状態を引き起こす可能性があります。（CVE-2016-2109）

  -非常に長いASN1文字列を処理するとき、crypto/x509/x509_obj.cファイル内のX509_NAME_oneline()関数のOpenSSLサブコンポーネントに領域外読み取りエラーがあります。認証されていないリモートの攻撃者がこれを悪用し、スタックメモリの内容を漏えいさせる可能性があります。
    （CVE-2016-2176）

  -iStoreコンポーネントのRuntime Catalogサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が機密性および整合性に影響を及ぼす可能性があります。（CVE-2016-5489）

  -Applications DBAコンポーネントのAD Utilitiesサブコンポーネントに詳細不明な欠陥があるため、ローカルの攻撃者が秘密情報を漏えいさせる可能性があります。（CVE-2016-5517）  
  -Shipping ExecutionコンポーネントのWorkflow Eventsサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が秘密情報を漏えいさせる可能性があります。（CVE-2016-5532）

  -Advanced PricingコンポーネントのPrice Bookサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が機密性および整合性に影響を及ぼす可能性があります。（CVE-2016-5557）

  -iProcurementコンポーネントのRequisition Managementサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が機密性および整合性に影響を及ぼす可能性があります。（CVE-2016-5562）

  -DBAコンポーネントのAD Utilitiesサブコンポーネントに複数の詳細不明な欠陥があるため、認証されたリモートの攻撃者が機密性と整合性に影響を及ぼす可能性があります。（CVE- 2016-5567、CVE-2016-5570、CVE-2016-5571）

  -Common Applications CalendarコンポーネントのResources Moduleサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が秘密情報を漏えいさせる可能性があります。
    （CVE-2016-5575）

  -iRecruitmentコンポーネントのCandidate Self Serviceサブコンポーネントに詳細不明な欠陥があるため、ローカルの攻撃者が昇格した権限を得る可能性があります。
    （CVE-2016-5581）

  -One-to-One FulfillmentコンポーネントのFile Uploadサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2016-5583）

  -Interaction Center IntelligenceコンポーネントのSelect Application Dependenciesサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が機密性および整合性に影響を及ぼす可能性があります。
    （CVE-2016-5585）

  -Email CenterコンポーネントのDispatch/Service Call Requestsサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が機密性および整合性に影響を及ぼす可能性があります。（CVE-2016-5586）

  -Customer Interaction HistoryコンポーネントのOutcome-Resultサブコンポーネントに詳細不明な欠陥が複数あるため、認証されていないリモートの攻撃者が機密性および整合性に影響を及ぼす可能性があります。
    （CVE-2016-5587、CVE-2016-5591、CVE-2016-5593）

  -CRM Technical FoundationコンポーネントのResponsibility Managementサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が機密性および整合性に影響を及ぼす可能性があります。
    （CVE-2016-5589）

  -Customer Interaction HistoryコンポーネントのResult-Reasonサブコンポーネントに詳細不明な欠陥が複数あるため、認証されていないリモートの攻撃者が機密性および整合性に影響を及ぼす可能性があります。（CVE-2016-5592、CVE-2016-5595）

  -CRM Technical FoundationコンポーネントのDefault Responsibilityサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が秘密情報を漏えいさせる可能性があります。（CVE-2016-5596）

遠端主機上安裝的 Oracle E-Business 版本缺少 2016 年 10 月 Oracle 重要修補程式更新 (CPU)。因此，該應用程式受到多個弱點影響：

  - 在 OpenSSL 子元件中，檔案 crypto/evp/encode.c 內的 EVP_EncodeUpdate() 函式存在一個堆積緩衝區溢位情形，處理大量輸入資料時會觸發此情形。未經驗證的遠端攻擊者可利用此弱點來引發拒絕服務情形。(CVE-2016-2105)

  - 在 OpenSSL 子元件中，crypto/evp/evp_enc.c 檔案的 EVP_EncryptUpdate() 函式中存在堆積型緩衝區溢位情形，在含有部分區塊的相同函式發生上一次呼叫後處理大量輸入資料時，可以觸發此弱點。
    未經驗證的遠端攻擊者可利用此弱點來引發拒絕服務情形。(CVE-2016-2106)

  - 在 OpenSSL 子元件中，crypto/evp/e_aes_cbc_hmac_sha1.c 檔案中的 aesni_cbc_hmac_sha1_cipher() 函式及 crypto/evp/e_aes_cbc_hmac_sha256.c 檔案中的 aesni_cbc_hmac_sha256_cipher() 函式存在多個瑕疵，連線使用 AES-CBC 密碼，且伺服器支援 AES-NI 時，可觸發這些瑕疵。攔截式攻擊者可惡意利用這些弱點，發動 padding oracle 攻擊，進而解密網路流量。
    (CVE-2016-2107)

  - OpenSSL 子元件中的 d2i BIO 函式從 BIO 讀取 ASN.1 資料時存在多個不明瑕疵，這是因為無效編碼造成程式配置大量記憶體所致。未經驗證的遠端攻擊者可利用這些瑕疵，透過資源耗盡造成拒絕服務情形。(CVE-2016-2109)

  - 在 OpenSSL 子元件中，crypto/x509/x509_obj.c 檔案的 X509_NAME_oneline() 函式在處理極長的 ASN1 字串時，會發生超出邊界讀取錯誤。未經驗證的遠端攻擊者可加以惡意利用洩露堆疊記憶體的內容。
    (CVE-2016-2176)

  - iStore 元件的 Runtime Catalog 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵影響機密性和完整性。(CVE-2016-5489)

  - Applications DBA 元件的 AD Utilities 子元件中有一個不明瑕疵，本機攻擊者可利用此瑕疵來洩露敏感資訊。(CVE-2016-5517)   
  - Shipping Execution 元件的 Workflow Events 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵洩露敏感資訊。(CVE-2016-5532)

  - Advanced Pricing 元件的 Price Book 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵來影響機密性和完整性。(CVE-2016-5557)

  - iProcurement 元件的 Requisition Management 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵來影響機密性和完整性。(CVE-2016-5562) 

  - DBA 元件的 AD Utilities 子元件中有多個不明瑕疵，經驗證的遠端攻擊者可藉以影響機密性和完整性。(CVE- 2016-5567、CVE-2016-5570、CVE-2016-5571)

  - Common Applications Calendar 元件的 Resources Module 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵來洩露敏感資訊。
    (CVE-2016-5575)

  - iRecruitment 元件的 Candidate Self Service 子元件中有一個不明瑕疵，本機攻擊者可利用此瑕疵取得更高權限。
    (CVE-2016-5581)

  - One-to-One Fulfillment 元件的 File Upload 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵來影響機密性和完整性。(CVE-2016-5583)

  - Interaction Center Intelligence 元件的 Select Application Dependencies 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵來影響機密性和完整性。
    (CVE-2016-5585)

  - Email Center 元件的 Dispatch/Service Call Requests 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵來影響機密性和完整性。(CVE-2016-5586)

  - Customer Interaction History 元件的 Outcome-Result 子元件中有多個不明瑕疵，未經驗證的遠端攻擊者可藉以影響機密性和完整性。
    (CVE-2016-5587、CVE-2016-5591、CVE-2016-5593)

  - CRM Technical Foundation 元件的 Responsibility Management 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵來影響機密性和完整性。
    (CVE-2016-5589)

  - Customer Interaction History 元件的 Result-Reason 子元件中有多個不明瑕疵，未經驗證的遠端攻擊者可藉以影響機密性和完整性。(CVE-2016-5592、CVE-2016-5595)

  - CRM Technical Foundation 元件的 Default Responsibility 子元件中有一個不明瑕疵，未經驗證的遠端攻擊者可利用此瑕疵來洩露敏感資訊。(CVE-2016-5596)

远程主机上安装的 Oracle E-Business 版本缺少 2016 年 10 月的 Oracle 关键修补程序更新 (CPU)。因此，该服务器受到多个漏洞的影响：

  - 文件 crypto/evp/encode.c 内的 EVP_EncodeUpdate() 函数的 OpenSSL 子组件中存在一个堆缓冲区溢出情况，会在处理大量输入数据时会触发。未经身份验证的远程攻击者可利用此缺陷造成拒绝服务。(CVE-2016-2105)

  - OpenSSL 子组件中文件 crypto/evp/evp_enc.c 内的 EVP_EncryptUpdate() 函数中存在堆缓冲区溢出情况，在前一次调用使用部分区块调用相同函数之后，处理大量输入数据时会触发。
    未经身份验证的远程攻击者可利用此缺陷造成拒绝服务。(CVE-2016-2106)

  - 在 OpenSSL 子组件中，crypto/evp/e_aes_cbc_hmac_sha1.c 文件中的 aesni_cbc_hmac_sha1_cipher() 函数及 crypto/evp/e_aes_cbc_hmac_sha256.c 文件中的 aesni_cbc_hmac_sha256_cipher() 函数存在多个缺陷，当连接使用 AES-CBC 密码，且服务器支持 AES-NI 时，可触发这些缺陷。中间人攻击者可利用这些漏洞，发动 padding oracle 攻击，进而解密网络流量。
    (CVE-2016-2107)

  - 由于无效编码造成分配大量内存，从 BIO 读取 ASN.1 数据时，OpenSSL 子组件中的 d2i BIO 函数存在多个不明缺陷。未经身份验证的远程攻击者可利用这些缺陷，通过资源耗尽造成拒绝服务的情况。(CVE-2016-2109)

  - 在 OpenSSL 子组件中，处理极长的 ASN1 字符串时，crypto/x509/x509_obj.c 文件的 X509_NAME_oneline() 函数中存在越界读取错误。未经身份验证的远程攻击者可利用此错误泄露堆栈内存的内容。
    (CVE-2016-2176)

  - 在 iStore 组件内的 Runtime Catalog 子组件中存在一个不明缺陷，可导致未经身份验证的远程攻击者影响机密性和完整性。(CVE-2016-5489)

  - 在 Applications DBA 组件内的 AD Utilities 子组件中存在不明缺陷，可导致本地攻击者泄露敏感信息。(CVE-2016-5517)  
  - 在 Shipping Execution 组件内的 Workflow Events 子组件中存在一个不明缺陷，可导致未经身份验证的远程攻击者泄露潜在的敏感信息。(CVE-2016-5532)

  - 在 Advanced Pricing 组件内的 Price Book 子组件中存在一个不明缺陷，可导致未经身份验证的远程攻击者影响机密性和完整性。(CVE-2016-5557)

  - 在 iProcurement 组件内的 Requisition Management 子组件中存在一个不明缺陷，可导致未经身份验证的远程攻击者影响机密性和完整性。(CVE-2016-5562)

  - DBA 组件内的 AD Utilities 子组件中存在多个不明缺陷，可导致经身份验证的远程攻击者影响机密性和完整性。（CVE- 2016-5567、CVE-2016-5570、CVE-2016-5571）

  - 在 Common Applications Calendar 组件内的 Resources Module 子组件中存在不明缺陷，可导致未经身份验证的远程攻击者泄露敏感信息。
    (CVE-2016-5575)

  - iRecruitment 组件内的 Candidate Self Service 子组件中存在不明缺陷，可导致本地攻击者获取提升的权限。
    (CVE-2016-5581)

  - One-to-One Fulfillment 组件内的 File Upload 子组件中存在不明缺陷，可导致未经身份验证的远程攻击者影响完整性。(CVE-2016-5583)

  - 在 Interaction Center Intelligence 组件内的 Select Application Dependencies 子组件中存在一个不明缺陷，可导致未经身份验证的远程攻击者影响机密性和完整性。
    (CVE-2016-5585)

  - 在 Email Center 组件内的 Dispatch/Service Call Requests 子组件中存在一个不明缺陷，可导致未经身份验证的远程攻击者影响机密性和完整性。(CVE-2016-5586)

  - 在 Customer Interaction History 组件内的 Outcome-Result 子组件中存在多个不明缺陷，可导致未经身份验证的远程攻击者影响机密性和完整性。
    （CVE-2016-5587、CVE-2016-5591、CVE-2016-5593）

  - 在 CRM Technical Foundation 组件内的 Responsibility Management 子组件中存在一个不明缺陷，可导致未经身份验证的远程攻击者影响机密性和完整性。
    (CVE-2016-5589)

  - 在 Customer Interaction History 组件内的 Result-Reason 子组件中存在一个不明缺陷，可导致未经身份验证的远程攻击者影响机密性和完整性。（CVE-2016-5592、CVE-2016-5595）

  - 在 CRM Technical Foundation 组件内的 Default Responsibility 子组件中存在不明缺陷，可导致未经身份验证的远程攻击者泄露敏感信息。(CVE-2016-5596)

ID	名稱	產品	系列	已發布	已更新	嚴重性
94164	Oracle E-Business Multiple Vulnerabilities (October 2016 CPU)	Nessus	Misc.	2016/10/20	2022/4/11	high
94164	Oracle E-Business の複数の脆弱性（2016年10月CPU）	Nessus	Misc.	2016/10/20	2022/4/11	high
94164	Oracle E-Business 多個弱點 (2016 年 10 月 CPU)	Nessus	Misc.	2016/10/20	2022/4/11	high
94164	Oracle E-Business 多个漏洞（2016 年 10 月 CPU）	Nessus	Misc.	2016/10/20	2022/4/11	high

偵測

搜尋 Plugin

high

high

high

high