According to its self-reported version number, the Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) installation running on the remote web server is 8.3.x prior to 8.3.15.4, 8.4.x prior to 8.4.15.2, 15.x prior to 15.2.15.1, or 16.x prior to 16.2.9.0. It is, therefore, affected by the following vulnerabilities :

  - A flaw exists in the Web Access component, specifically     in Apache MyFaces Trinidad in CoreResponseStateManager,     due to using ObjectInputStream and ObjectOutputStream     strings directly without securely deserializing Java     input. An unauthenticated, remote attacker can exploit     this, via a crafted serialized view state string, to     execute arbitrary code. (CVE-2016-5019)

  - Multiple unspecified flaws exist in the Web Access     component that allow an authenticated, remote attacker     to disclose sensitive information. (CVE-2017-10038,     CVE-2017-10160)

  - An unspecified flaw exists in the Web Access component     that allows an authenticated, remote attacker to     impact confidentiality and integrity. (CVE-2017-10046)

  - An unspecified flaw exists in the Web Access component     that allows an authenticated, remote attacker to     impact confidentiality, integrity, and availability.
    (CVE-2017-10131)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョン番号によると、リモートWebサーバーで実行されているOracle Primavera P6 Enterprise Project Portfolio Management（EPPM）のインストールは、8.3.15.4より前の8.3.x、8.4.15.2より前の8.4.x、15.2.15.1より前の15.x、または16.2.9.0より前の16.xです。したがって、次の脆弱性の影響を受けます。- 安全な逆シリアル化Java入力なしで ObjectInputStreamとObjectOutputStream文字列を直接使用しているため、Web Accessコンポーネント、特にApache MyFaces Trinidad in CoreResponseStateManagerに欠陥があります。認証されていないリモートの攻撃者がこの脆弱性を悪用し、特別に細工されたシリアル化ビュー状態文字列を介して、任意のコードを実行する可能性があります。（CVE-2016-5019）- Web Accessコンポーネントに複数の詳細不明な欠陥があり、認証されたリモートの攻撃者が秘密情報を漏えいする可能性があります。（CVE-2017-10038、CVE-2017-10160）- Web Accessコンポーネントに詳細不明な欠陥があり、認証されたリモートの攻撃者が機密性および整合性に影響を与える可能性があります。（CVE-2017-10046）- Web Accessコンポーネントに詳細不明な欠陥があり、認証されたリモートの攻撃者が機密性、整合性、可用性に影響を与える可能性があります。（CVE-2017-10131）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) 是 8.3.15.4 之前的 8.3.x 版、8.4.15.2 之前的 8.4.x 版、15.2.15.1 之前的 15.x 版，或 16.2.9.0 之前的 16.x 版。因此，會受到以下弱點影響：- Web Access 元件中存在一個缺陷，尤其是在 CoreResponseStateManager 的 Apache MyFaces Trinidad 中，這是因為直接使用 ObjectInputStream 和 ObjectOutputStream 字串而未安全地還原序列化 Java 輸入所致。未經驗證的遠端攻擊者可加以惡意利用，透過特製的檢視狀態字串執行任意程式碼。(CVE-2016-5019) - Web Access 元件中存在多個不明缺陷，經驗證的遠端攻擊者可藉以洩漏敏感資訊。(CVE-2017-10038、CVE-2017-10160) - Web Access 元件中存在一個不明缺陷，經驗證的遠端攻擊者可藉以影響機密性和完整性。(CVE-2017-10046) - Web Access 元件中存在一個不明缺陷，經驗證的遠端攻擊者可藉以影響機密性、完整性和可用性。(CVE-2017-10131) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其自我报告的版本号，在远程 Web 服务器上运行的 Oracle Primavera P6 企业项目组合管理 (EPPM) 安装版本为低于 8.3.15.4 的 8.3.x、低于 8.4.15.2 的 8.4、低于 15.2.15.1 的 15.x 或低于 16.2.9.0 的 16.x。因而会受到以下漏洞的影响：- 由于未安全地反序列化 Java 输入而直接使用 ObjectInputStream 和 ObjectOutputStream 字符串，Web Access 组件中存在缺陷，尤其是在 Apache MyFaces Trinidad 的 CoreResponseStateManager 中。未经身份验证的远程攻击者可利用此问题，通过特制的序列化视图状态字符串执行任意代码。(CVE-2016-5019) - Web Access 组件中存在多个不明缺陷，允许经身份验证的远程攻击者泄露敏感信息。(CVE-2017-10038, CVE-2017-10160) - Web Access 组件中存在不明缺陷，允许经身份验证的远程攻击者影响机密性和完整性。(CVE-2017-10046) - Web Access 组件中存在不明缺陷，允许经身份验证的远程攻击者影响机密性、完整性和可用性。(CVE-2017-10131) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
101900	Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) Multiple Vulnerabilities (July 2017 CPU)	Nessus	CGI abuses	2017/7/21	2022/4/11	critical
101900	Oracle Primavera P6 Enterprise Project Portfolio Management（EPPM）の複数の脆弱性（2017年7月CPU）	Nessus	CGI abuses	2017/7/21	2022/4/11	critical
101900	Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) 多個弱點 (2017 年 7 月 CPU)	Nessus	CGI abuses	2017/7/21	2022/4/11	critical
101900	Oracle Primavera P6 企业项目组合管理 (EPPM) 多个漏洞（2017 年 7 月 CPU）	Nessus	CGI abuses	2017/7/21	2022/4/11	critical

偵測

搜尋 Plugin

critical

critical

critical

critical