根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) 是比 8.4.15.10 舊的 8.4 版、比 15.2.18.4 舊的 15.x 版、比 16.2.17.2 舊的 16.x 版、比 17.12.12.0 舊的 17.x 版，或比 18.8.8.0 舊的 18.x 版。因此受到多個弱點影響：- Apache Commons FileUpload 中的解除序列化弱點可用於執行遠端程式碼。(CVE-2016-1000031) - 在隨附的協力廠商元件 OpenSSL 程式庫的 DSA 簽章演算法中含有一個拒絕服務弱點，使其容易受到計時旁路攻擊。攻擊者可利用此弱點復原私密金鑰。(CVE-2018-0734) - jackson-databind (適用於 Java、快速而強大的 JSON 程式庫) 中有一個還原序列化弱點，未經驗證的使用者可藉以執行程式碼。擴大黑名單並封鎖更多來自多型態還原序列化的類別，即可解決此問題。(CVE-2018-19362) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

According to its self-reported version number, the Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) installation running on the remote web server is 8.4 prior to 8.4.15.10, 15.x prior to 15.2.18.4, 16.x prior to 16.2.17.2, 17.x prior to 17.12.12.0, or 18.x prior to 18.8.8.0. It is, therefore, affected by multiple vulnerabilities:

  - A deserialization vulnerability in Apache Commons     FileUpload allows for remote code execution.
    (CVE-2016-1000031)

  - A denial of service vulnerability in the bundled     third-party component OpenSSL library's DSA signature     algorithm that renders it vulnerable to a timing side     channel attack. An attacker could leverage this     vulnerability to recover the private key.
    (CVE-2018-0734)

  - A deserialization vulnerability in jackson-databind, a     fast and powerful JSON library for Java, allows an     unauthenticated user to perform code execution. The     issue was resolved by extending the blacklist and     blocking more classes from polymorphic deserialization.
    (CVE-2018-19362)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているOracle Primavera P6 Enterprise Project Portfolio Management（EPPM）のインストールは、8.4.15.10より前の8.4、15.2.18.4より前の15.x、16.2.17.2より前の16.x、17.12.12.0より前の17.x、または18.8.8.0より前の18.xです。したがって、複数の脆弱性の影響を受けます。- Apache Commons FileUploadに逆シリアル化の脆弱性があるため、リモートでコードが実行される可能性があります。（CVE-2016-1000031）- バンドルされているサードパーティコンポーネントのOpenSSLライブラリのDSA署名アルゴリズムにサービス拒否の脆弱性があるため、タイミングサイドチャンネル攻撃に対して脆弱です。攻撃者がこの脆弱性を悪用して、秘密鍵を復元する可能性があります。（CVE-2018-0734）- Java用の高速で強力なJSONライブラリであるjackson-databindに逆シリアル化の脆弱性があるため、認証されていないユーザーがコードを実行する可能性があります。この問題は、ブラックリストを拡張し、より多くのクラスをポリモーフィック型の逆シリアル化からブロックすることで解決されました。（CVE-2018-19362）Nessusはこれらの問題をテストしていませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根据其自我报告的版本号，在远程 Web 服务器上运行的 Oracle Primavera P6 企业项目组合管理 (EPPM) 安装版本为低于 8.4.15.10 的 8.4、低于 15.2.18.4 的 15.x、低于 16.2.17.2 的 16.x、低于 17.12.12.0 的 17.x 或低于 18.8.8.0 的 18.x。因而受到多个漏洞的影响：-在 Apache Commons FileUpload 中的反序列化漏洞允许远程代码执行。(CVE-2016-1000031) - 在随附的第三方组件 OpenSSL 库的 DSA 签名算法中包含拒绝服务漏洞，使其容易受到计时边信道攻击。攻击者可利用此漏洞恢复私钥。(CVE-2018-0734) - jackson-databind（适用于 Java 快速而强大的 JSON 库）中有一个反序列化漏洞，允许未经验证的用户执行代码。通过扩大黑名单并封锁更多来自多型反序列化的类别，即可解决此问题。(CVE-2018-19362) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
124169	Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) 多個弱點 (2019 年 4 月 CPU)	Nessus	CGI abuses	2019/4/19	2024/5/31	critical
124169	Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) Multiple Vulnerabilities (Apr 2019 CPU)	Nessus	CGI abuses	2019/4/19	2024/5/31	critical
124169	Oracle Primavera P6 Enterprise Project Portfolio Management（EPPM）の複数の脆弱性（2019年4月CPU）	Nessus	CGI abuses	2019/4/19	2024/5/31	critical
124169	Oracle Primavera P6 企业项目组合管理 (EPPM) 多个漏洞（2019 年 4 月 CPU）	Nessus	CGI abuses	2019/4/19	2024/5/31	critical

偵測

搜尋 Plugin

critical

critical

critical

critical