遠端主機上安裝的 Enterprise Manager Base Platform 13.3.0.0、13.4.0.0 和 12.1.0.5 版受到 2020 年 7 月 CPU 公告中提及的多個弱點影響。

  - Oracle Enterprise Manager 的 Enterprise Manager Base Platform 產品中存在弱點 (元件：
    Enterprise Manager Install (jackson-databind)。
    受影響的支援版本是 13.3.0.0 和 13.4.0.0。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Enterprise Manager Base Platform。若成功攻擊此弱點，則可接管 Enterprise Manager Base Platform。、CVSS 3.1 Base Score 9.8 (機密性、完整性和可用性影響)。CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)。
    (CVE-2020-9546)

  - Oracle Enterprise Manager 的 Enterprise Manager Base Platform 產品中存在弱點 (元件：
    Reporting Framework (Apache Struts 2)。受影響的支援版本是 13.3.0.0 和 13.4.0.0。
    如果未經驗證的恭敬這可透過 HTTP 存取網路，則可利用難以利用的弱點，入侵 Enterprise Manager Base Platform。若成功攻擊此弱點，則可接管 Enterprise Manager Base Platform。、CVSS 3.1 Base Score 8.1 (機密性、完整性和可用性影響)。CVSS 向量：
    (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)。
    (CVE-2018-11776)

  - Oracle Enterprise Manager 的 Enterprise Manager Base Platform 產品中存在弱點 (元件：
    Application Service Level Mgmt (Apache Axis)。受影響的支援版本是 12.1.0.5 和 13.3.0.0。
    如果未經授權的攻擊者可存取附加在 Enterprise Manager Base Platform 執行所在硬體上的實體通訊區段，則可利用難以利用的弱點入侵 Enterprise Manager Base Platform。若成功攻擊此弱點，則可接管 Enterprise Manager Base Platform。、CVSS 3.1 Base Score 7.5 (機密性、完整性和可用性影響)。
    CVSS 向量：
    (CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)。
    (CVE-2019-0227)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 Oracle WebCenter Portal 缺少 2020 年 7 月重大修補程式更新 (CPU) 的安全性修補程式。因此會受到包括以下在內的多個弱點影響：

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或特定內容)，且服務在類別路徑中具有 apache-log4j-extra (1.2.x) jar 時，如果攻擊者可提供 JNDI 服務端點，則可能會使服務執行惡意承載。這是 Security Framework 元件的一部分，且為易受利用的弱點，具有網路存取權的未經驗證攻擊者可藉此入侵 Oracle WebCenter Portal。(CVE-2019-17531)

  Oracle Fusion Middleware 的 Oracle WebCenter Portal 產品中存在一個弱點 (元件：Composer)。
    受影響的支援版本是 12.2.1.3.0 和 12.2.1.4.0。這是一個易受利用的弱點，具有網路存取權的未經驗證攻擊者可藉此透過 HTTP 入侵 Oracle WebCenter Portal。若成功攻擊此弱點，則可在未經授權的情況下，建立、刪除或修改重要資料或所有 Oracle WebCenter Portal 可存取的資料，並在未經授權的情況下，讀取 Oracle WebCenter Portal 可存取資料的子集，以及造成 Oracle WebCenter Portal 部分拒絕服務 (拒絕 DOS)。(CVE-2020-14611)

  - 伺服器端要求偽造 (SSRF) 弱點會影響 2006 年最後發行的 Apache Axis 1.4 發行版本，該版本用於 Oracle WebCenter Portal 的 WebCenter Spaces Application 元件。
    如果未經授權的攻擊者可存取附加在 Oracle WebCenter Portal 執行所在硬體上的實體通訊區段，則可利用此難以利用的弱點入侵 Oracle WebCenter Portal。(CVE-2019-0227)

請注意，Nessus 並未嘗試利用這些問題，而是僅依據應用程式自我報告的版本號碼。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 4.1.0之前的 Apache POI 中使用 XSSFExportToXml 工具轉換使用者提供的 Microsoft Excel 文件時特製的文件可允許攻擊者透過 XML 外部實體 (XXE) 從本機檔案系統或內部網路資源讀取檔案處理中。 (CVE-2019-12415)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

根據其自我報告版本號碼，遠端網頁伺服器上執行的 Oracle Primavera Unifier 安裝版本是比 16.2.16.0 舊的 16.1.x 版或 16.2.x 版、比 17.12.11.2 舊的 17.7.x 至 17.12.x 版、比 18.8.15 舊的 18.8.x 版，或比 19.12.0.1 舊的 19.12.x 版。因此會受到多個弱點影響：- 在 Primavera Unifier 中使用的 2.9.10 版之前的 FasterXML jackson-databind 中發現一個多型態輸入問題。(CVE-2019-14540) - 在 Primavera Unifier 中使用的 Apache Tika 的 1.7 - 1.21 版 RecursiveParserWrapper 中存在一個記憶體耗盡缺陷。(CVE-2019-10088) - 一個伺服器端要求偽造 (SSRF) 弱點會影響 2006 年最後發行的 Apache Axis 1.4 發行版本。安全性和錯誤提交繼續在專案 Axis 1.x Subversion 存放庫中進行，鼓勵舊版使用者從來源構建。Axis 1.x 的後繼者是 Axis2，最新版本為 1.7.9，不受此問題影響。(CVE-2019-0227) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Oracle Primavera Gateway 為 15.2.18 之前的 15.x 版、16.2.11 之前的 16.x 版、17.12.6 之前的 17.x 版，或 18.8.8.1 之前的 18.x 版。因此會受到多個弱點影響，其中包括下列弱點：- 與 com.zaxxer.hikari.HikariDataSource 相關之 FasterXML jackson-databind 中所存在的兩個多型態輸入問題，而這些問題可能會被未經驗證的遠端攻擊者惡意利用。(CVE-2019-16335、CVE-2019-14540) - 因 Apache Axis 中的 getCN 函式未正確驗證伺服器主機名稱是否符合 X.509 憑證之主體的一般名稱 (CN) 或 subjectAltName 欄位中的網域名稱，而造成中間人弱點。未經驗證的遠端攻擊者可惡意利用此弱點，透過其主體在非 CN 欄位中指定一般名稱的憑證偽造 SSL 伺服器。(CVE-2014-3596) - Apache Axis 中存在一個可被未經驗證之遠端攻擊者惡意利用的伺服器端要求偽造 (SSRF) 弱點。(CVE-2019-0227) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 Oracle JDeveloper 版本早於 12.2.1.4.0。因此，會受到 2021 年 7 月 CPU 公告中所提及的多個弱點影響。

  - Oracle Essbase 的 Essbase 產品中存在弱點 (元件：Infrastructure (Apache Commons Compress))。受影響的支援版本是 21.2。此弱點較易攻擊成功，可存取附加在 Essbase 硬體上的實體通訊區段的低權限攻擊者可藉此弱點入侵 Essbase。若要成功攻擊，必須有攻擊者以外之他人的互動。若成功攻擊此弱點，則可能導致未經授權的更新、插入或刪除某些可供存取之 Essbase 資料的存取權和未經授權的能力，並可能造成 Essbase 部分拒絕服務 (部分 DOS)。(CVE-2019-12402)

  - Oracle Fusion Middleware 的 Oracle JDeveloper and ADF 產品中存在弱點 (元件：OAM (Apache POI))。受影響的支援版本是 12.2.1.4.0。此弱點可輕易攻擊成功，低權限攻擊者可藉此登入 Oracle JDeveloper and ADF 執行所在的基礎結構以入侵 Oracle JDeveloper and ADF。若成功攻擊此弱點，則可導致在未經授權情況下存取重要資料，或完整存取所有 Oracle JDeveloper and ADF 可存取資料。(CVE-2019-12415)

  - Oracle Enterprise Manager 的 Enterprise Manager Base Platform 產品中存在弱點 (元件：Application Service Level Mgmt (dom4j))。受影響的支援版本是 13.4.0.0。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Enterprise Manager Base Platform。若成功攻擊此弱點，則可能導致接管 Enterprise Manager Base Platform。(CVE-2020-10683)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 Oracle Database Server 版本受到 2021 年 7 月 CPU 公告中提及的多個弱點。

  - Oracle Database Server 的 Advanced Networking Option 元件中存在的弱點。受影響的支援版本是 12.1.0.2 和 19c。攻擊此弱點具有難度，可以透過 Oracle Net 存取網路的未經驗證攻擊者可藉此入侵 Advanced Networking Option。若要成功攻擊，必須有除攻擊者以外的他人互動，雖然此弱點位於 Advanced Networking Option 中，但攻擊可能對其他產品造成重大影響。如果成功攻擊此弱點，可造成 Advanced Networking Option 被接管。(CVE-2021-2351)

  - Oracle Database Server 的 Oracle Text 元件中存在的弱點。受影響的支援版本是 12.1.0.2 和 19c。此弱點較易攻擊成功，擁有「建立任意程序」、「更改任何表格」權限且可透過 Oracle Net 存取網路的高權限攻擊者可藉此入侵 Oracle Text。
    若成功攻擊此弱點，可以接管 Oracle Text。(CVE-2021-2328)

  - Oracle Database Server 的 Oracle XML DB 元件中存在弱點。受影響的支援版本是 12.1.0.2 和 19c。此弱點較易攻擊成功，擁有「建立任意程序」、「建立公開同義詞」權限且可透過 Oracle Net 存取網路的高權限攻擊者可藉此入侵 Oracle XML DB。若成功攻擊此弱點，可以接管 Oracle XML DB。
    (CVE-2021-2329)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

Oracle Fusion Middleware 的 Oracle WebCenter Sites 元件會受到多個弱點影響。

  - 元件：WebCenter Sites (Terracotta Quartz Scheduler))。受影響的支援版本是 12.2.1.3.0 和 12.2.1.4.0。能夠透過 HTTP 存取網路的未經驗證攻擊者可利用易受利用的弱點入侵 Oracle WebCenter Sites。若攻擊成功，可導致攻擊者接管 Oracle WebCenter Sites。(CVE-2019-13990)

  - 元件：WebCenter Sites (XStream))。受影響的支援版本是 12.2.1.3.0 和 12.2.1.4.0。攻擊此弱點的難度較小，經由 HTTP 存取網路的低權限攻擊者可以藉此入侵 Oracle WebCenter Sites。若攻擊成功，可導致攻擊者接管 Oracle WebCenter Sites。(CVE-2021-29505)

  - 元件：WebCenter Sites (dojo))。受影響的支援版本是 12.2.1.3.0 和 12.2.1.4.0。能夠透過 HTTP 存取網路的未經驗證攻擊者可利用易受利用的弱點入侵 Oracle WebCenter Sites。若攻擊成功，攻擊者可在未經授權的情況下，建立、刪除或修改重要資料或所有可存取的 Oracle WebCenter Sites 資料。(CVE-2020-5258)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本

遠端主機上安裝的 Oracle Application Testing Suite 版本受到多個弱點影響：- Oracle Enterprise Manager 的 Oracle Application Testing Suite 產品中的弱點 (元件：Oracle Flow Builder (Jython))。受影響的支援版本是 12.5.0.3、13.1.0.1、13.2.0.1 和 13.3.0.1。可輕易利用的弱點，允許具有網路存取權的未經驗證的攻擊者透過 HTTP 來入侵 Oracle Application Testing Suite。成功攻擊此弱點可導致接管 Oracle Application Testing Suite。(CVE-2016-4000) - Oracle Enterprise Manager 子元件 Oracle Flow Builder (Jython) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者可透過 HTTP 進行網路存取，以入侵 Oracle Application Testing Suite。(CVE-2016-4000) - Oracle Enterprise Manager 子元件 Load Testing for Web Apps (Apache POI) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者可透過 HTTP 進行網路存取，以入侵 Oracle Application Testing Suite，並造成處理程序懸置或經常重複性當機 (完全 DOS)。(CVE-2017-12626) - Oracle Enterprise Manager 子元件 Oracle Flow Builder (Apache POI) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者可透過 HTTP 進行網路存取，以入侵 Oracle Application Testing Suite，並造成處理程序懸置或經常重複性當機 (完全 DOS)。(CVE-2017-12626) - Oracle Enterprise Manager 子元件 Load Testing for Web Apps (AntiSamy) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者，可透過 HTTP 存取網路，並能夠取得與他人互動的話，就能影響額外產品並導致針對某些可存取資料的未經授權的更新、插入或刪除存取權，以及針對可存取資料的未經授權子集的未經授權讀取存取權。(CVE-2017-14735) - Oracle Enterprise Manager 子元件 Oracle Flow Builder (Antisamy) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者，可透過 HTTP 存取網路，並能夠取得與他人互動的話，就能影響額外產品並導致針對某些可存取資料的未經授權的更新、插入或刪除存取權，以及針對可存取資料的未經授權子集的未經授權讀取存取權。(CVE-2017-14735) - Oracle Enterprise Manager 子元件 Load Testing for Web Apps (Application Development Framework) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者可透過 HTTP 進行網路存取，可導致接管 Oracle Application Testing Suite。(CVE-2019-2904) - Oracle Enterprise Manager 子元件 Oracle Flow Builder (jQuery) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者，可透過 HTTP 存取網路，並能夠取得與他人互動的話，就能影響額外產品並導致針對某些可存取資料的未經授權的更新、插入或刪除存取權，以及針對可存取資料的未經授權子集的未經授權讀取存取權。(CVE-2019-11358) - Oracle Enterprise Manager 子元件 Load Testing for Web Apps (Apache POI) 的 Oracle Application Testing Suite 產品中有一個不明弱點。經驗證的低權限遠端攻擊者，如果具有基礎結構的網路存取權，可能導致未經驗證的重大資料存取權或 Oracle Application Testing Suite 可存取資料的完整存取權。(CVE-2019-12415) - Oracle Enterprise Manager 子元件 Oracle Flow Builder 的 Oracle Application Testing Suite 產品中有一個不明弱點。經驗證的遠端攻擊者，如果可透過 HTTP 存取網路，可能導致未經驗證的重大資料存取權或 Oracle Application Testing Suite 可存取資料的完整存取權。(CVE-2020-2673)

ID	名稱	產品	系列	已發布	已更新	嚴重性
138555	Oracle Enterprise Manager Cloud Control (2020 年 7 月 CPU)	Nessus	Misc.	2020/7/16	2023/4/25	critical
138564	Oracle WebCenter Portal 多個弱點 (2020 年 7 月 CPU)	Nessus	Misc.	2020/7/16	2025/7/24	critical
254246	Linux Distros 未修補的弱點：CVE-2019-12415	Nessus	Misc.	2025/8/24	2025/9/2	medium
133359	Oracle Primavera Unifier 多個弱點 (2020 年 1 月 CPU)	Nessus	CGI abuses	2020/1/30	2024/3/28	critical
132936	Oracle Primavera Gateway 多個弱點 (2020 年 1 月 CPU)	Nessus	CGI abuses	2020/1/15	2022/12/5	critical
152033	Oracle JDeveloper XXE (2021 年 7 月 CPU)	Nessus	Misc.	2021/7/23	2023/12/6	critical
152026	Oracle Database Server 多個弱點 (2021 年 7 月 CPU)	Nessus	Databases	2021/7/23	2023/12/6	critical
154418	Oracle WebCenter Sites 多個弱點 (2021 年 10 月 CPU)	Nessus	Windows	2021/10/26	2023/11/28	critical
133260	Oracle Application Testing Suite 多個弱點 (2020 年 1 月 CPU)	Nessus	Misc.	2020/1/27	2024/3/28	critical

偵測

搜尋 Plugin

critical

critical

medium

critical

critical

critical

critical

critical

critical