The remote Ubuntu 18.04 LTS / 20.04 LTS / 21.10 host has a package installed that is affected by a vulnerability as referenced in the USN-5293-1 advisory.

  - c3p0 version < 0.9.5.4 may be exploited by a billion laughs attack when loading XML configuration due to     missing protections against recursive entity expansion when loading configuration. (CVE-2019-5427)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートのUbuntu 18.04LTS/20.04 LTS/21.10ホストには、USN-5293-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - c3p0 バージョン < 0.9.5.4 は、構成をロードする際の再帰エンティティ拡張に対する保護の欠如により、XML 構成をロードする際の billion laughs 攻撃に悪用される可能性があります。(CVE-2019-5427)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 Ubuntu 18.04 LTS/20.04 LTS/21.10 主机上安装的一个程序包受到 USN-5293-1 公告中提及的漏洞影响。

  - 由于加载配置时未对递归实体扩展提供保护，c3p0 0.9.5.4 之前版本可能在加载 XML 配置时遭到恶意利用。(CVE-2019-5427)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

Update to version 0.9.5.4.

Resolves CVE-2018-20433 and CVE-2019-5427.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

远程 Ubuntu 16.04 ESM 主机上安装的程序包受到 USN-5293-2 公告中提及的一个漏洞影响。

  - 由于加载配置时未对递归实体扩展提供保护，c3p0 0.9.5.4 之前版本可能在加载 XML 配置时遭到恶意利用。(CVE-2019-5427)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 18.04 LTS / 20.04 LTS / 21.10 主機上安裝的一個套件受到 USN-5293-1 公告中所提及的一個弱點影響。

  - c3p0 0.9.5.4 更早版本可能會在載入 XML 組態時遭到惡意利用，這是因為載入組態時缺少針對遞回實體擴充的保護所致。(CVE-2019-5427)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The version of tested product installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the CPUApr2020 advisory.

  - initDocumentParser in     xml/XMLSchedulingDataProcessor.java in Terracotta Quartz     Scheduler through 2.3.0 allows XXE attacks via a job     description. (CVE-2019-13990)

  - A Polymorphic Typing issue was discovered in FasterXML     jackson-databind 2.0.0 through 2.9.10. When Default     Typing is enabled (either globally or for a specific     property) for an externally exposed JSON endpoint and     the service has the p6spy (3.8.6) jar in the classpath,     and an attacker can find an RMI service endpoint to     access, it is possible to make the service execute a     malicious payload. This issue exists because of     com.p6spy.engine.spy.P6DataSource mishandling.
    (CVE-2019-16943)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

遠端 Ubuntu 16.04 ESM 主機上安裝的套件受到 USN-5293-2 公告中所提及的一個弱點影響。

  - c3p0 0.9.5.4 更早版本可能會在載入 XML 組態時遭到惡意利用，這是因為載入組態時缺少針對遞回實體擴充的保護所致。(CVE-2019-5427)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Ubuntu 16.04 ESM host has a package installed that is affected by a vulnerability as referenced in the USN-5293-2 advisory.

  - c3p0 version < 0.9.5.4 may be exploited by a billion laughs attack when loading XML configuration due to     missing protections against recursive entity expansion when loading configuration. (CVE-2019-5427)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

バージョン0.9.5.4に更新してください。

CVE-2018-20433およびCVE-2019-5427を解決します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストにインストールされているテスト済み製品のバージョンが、テスト済みバージョンより前です。したがって、2020年4月のCPUのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.3.0までのTerracotta Quartz Schedulerのxml/XMLSchedulingDataProcessor.javaのinitDocumentParserでは、ジョブの説明を介したXXE攻撃が可能です。（CVE-2019-13990）

  - FasterXML jackson-databind 2.0.0から2.9.10に、多態的タイピングの問題が見つかりました。外部に公開されているJSONエンドポイントに対して、デフォルトのタイピングが（グローバルに、または特定のプロパティに対して）有効化されており、サービスのクラスパスにp6spy（3.8.6）のjarがある場合、攻撃者は、アクセスできるRMIサービスエンドポイントを見つけることができれば、サービスに悪意のあるペイロードを実行させることが可能です。この問題は、com.p6spy.engine.spy.P6DataSourceの誤った処理に起因します。
    （CVE-2019-16943）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端主機上安裝的經測試產品版本早於測試版本。因此，該產品受到 CPUApr2020 公告中提及的多個弱點影響。

  - 在版本早於 2.3.0 的 Terracotta Quartz Scheduler 中，xml/XMLSchedulingDataProcessor.java 中的 initDocumentParser 允許攻擊者透過工作描述發動 XXE 攻擊。(CVE-2019-13990)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或特定內容)，且服務在類別路徑中具有 p6spy (3.8.6) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。此問題之所以存在，是因為 com.p6spy.engine.spy.P6DataSource 處理不當。
    (CVE-2019-16943)。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的测试产品版本低于测试版本。因此，该产品受到 2020 年 4 月 CPU 公告中提及的多个漏洞的影响。

  - 在版本低于 2.3.0 的 Terracotta Quartz Scheduler 中，xml/XMLSchedulingDataProcessor.java 的 initDocumentParser 允许攻击者通过作业描述发动 XXE 攻击。(CVE-2019-13990)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 p6spy (3.8.6) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是 com.p6spy.engine.spy.P6DataSource 的错误处理。
    (CVE-2019-16943)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

リモートの Ubuntu 16.04 ESM ホストには、USN-5293-2のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - c3p0 バージョン < 0.9.5.4 は、構成をロードする際の再帰エンティティ拡張に対する保護の欠如により、XML 構成をロードする際の billion laughs 攻撃に悪用される可能性があります。(CVE-2019-5427)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
158255	Ubuntu 18.04 LTS / 20.04 LTS : c3p0 vulnerability (USN-5293-1)	Nessus	Ubuntu Local Security Checks	2022/2/22	2023/10/16	high
158255	Ubuntu 18.04 LTS / 20.04 LTS : c3p0 の脆弱性 (USN-5293-1)	Nessus	Ubuntu Local Security Checks	2022/2/22	2023/10/16	high
158255	Ubuntu 18.04 LTS / 20.04 LTS：c3p0 弱点 (USN-5293-1)	Nessus	Ubuntu Local Security Checks	2022/2/22	2023/10/16	high
125486	Fedora 29 : c3p0 (2019-063672154a)	Nessus	Fedora Local Security Checks	2019/5/29	2024/5/20	critical
183577	Ubuntu 16.04 ESM：c3p0 弱点 (USN-5293-2)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
158255	Ubuntu 18.04 LTS / 20.04 LTS：c3p0 弱點 (USN-5293-1)	Nessus	Ubuntu Local Security Checks	2022/2/22	2023/10/16	high
135584	Oracle Primavera Unifier (Apr 2020 CPU)	Nessus	CGI abuses	2020/4/15	2024/3/18	critical
183577	Ubuntu 16.04 ESM：c3p0 弱點 (USN-5293-2)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
183577	Ubuntu 16.04 ESM : c3p0 vulnerability (USN-5293-2)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
125487	Fedora 30 : c3p0 (2019-cb14e234fc)	Nessus	Fedora Local Security Checks	2019/5/29	2024/5/20	critical
125486	Fedora 29：c3p0（2019-063672154a）	Nessus	Fedora Local Security Checks	2019/5/29	2024/5/20	critical
135584	Oracle Primavera Unifier（2020年4月CPU）	Nessus	CGI abuses	2020/4/15	2024/3/18	critical
135584	Oracle Primavera Unifier (2020 年 4 月 CPU)	Nessus	CGI abuses	2020/4/15	2024/3/18	critical
135584	Oracle Primavera Unifier（2020 年 4 月 CPU）	Nessus	CGI abuses	2020/4/15	2024/3/18	critical
183577	Ubuntu 16.04 ESM: c3p0 の脆弱性 (USN-5293-2)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
125487	Fedora 30：c3p0（2019-cb14e234fc）	Nessus	Fedora Local Security Checks	2019/5/29	2024/5/20	critical

偵測

搜尋 Plugin

high

high

high

critical

high

high

critical

high

high

critical

critical

critical

critical

critical

high

critical