The version of Oracle WebCenter Portal installed on the remote host is missing a security patch from the July 2020 Critical Patch Update (CPU). It is, therefore, affected by multiple vulnerabilities, including the following:

  - A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default     Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and     the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a     JNDI service to access, it is possible to make the service execute a malicious payload. This is part of     the Security Framework component and is an easily exploitable vulnerability hat allows an unauthenticated     attacker with network access to compromise Oracle WebCenter Portal. (CVE-2019-17531)

  - A vulnerability in the Oracle WebCenter Portal product of Oracle Fusion Middleware (component: Composer).
    Supported versions that are affected are 12.2.1.3.0 and 12.2.1.4.0. This is an easily exploitable     vulnerability that allows an unauthenticated attacker with network access via HTTP to compromise Oracle     WebCenter Portal. Successful attacks of this vulnerability can result in unauthorized creation, deletion or     modification access to critical data or all Oracle WebCenter Portal accessible data as well as     unauthorized read access to a subset of Oracle WebCenter Portal accessible data and the unauthorized     ability to cause a partial denial of service (partial DOS) of Oracle WebCenter Portal. (CVE-2020-14611)

  - A Server Side Request Forgery (SSRF) vulnerability affected the Apache Axis 1.4 distribution that was     last released in 2006, which is used in Oracle WebCenter Portal's WebCenter Spaced Application component.
    This difficult to exploit vulnerability allows an unauthenticated attacker with access to the physical     communication segment attached to the hardware where the Oracle WebCenter Portal executes to compromise     Oracle WebCenter Portal. (CVE-2019-0227)

Note that Nessus has not attempted to exploit these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされているOracle WebCenter Portalのバージョンには、2020年7月のCritical Patch Update（CPU）からのセキュリティパッチがありません。そのため、以下を含む複数の脆弱性による影響を受けます：

  - FasterXML jackson-databind 2.0.0から2.9.10に、多態的タイピングの問題が見つかりました。外部に公開されているJSONエンドポイントに対して、デフォルトのタイピングが（グローバルに、または特定のプロパティに対して）有効化されており、サービスのクラスパスにapache-log4j-extra（バージョン1.2.x）のjarがある場合、攻撃者は、アクセスできるJNDIサービスを追加し、サービスに悪意のあるペイロードを実行させることが可能です。これはセキュリティフレームワークコンポーネントの一部で、容易に悪用可能な脆弱性があり、認証されていない攻撃者がネットワークにアクセスし、Oracle WebCenter Portalを侵害する可能性があります。（CVE-2019-17531）

  - Oracle Fusion MiddlewareのOracle WebCenter Portal製品の脆弱性（コンポーネント：コンポーザー）。
    サポートされているバージョンで影響を受けるのは、12.2.1.3.0および12.2.1.4.0です。これは容易に悪用可能な脆弱性であり、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebCenter Portalを侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、重要なデータやOracle WebCenter Portalがアクセスできるすべてのデータを権限なしで作成、削除、変更される可能性があることに加えて、承認なしにOracle WebCenter Portalがアクセスできるデータのサブセットに読み取りアクセスを実行し、Oracle WebCenter Portalで部分的サービス拒否（部分的なDOS）を引き起こす可能性があります。（CVE-2020-14611）

  - Oracle WebCenter PortalのWebCenter Spaces Applicationコンポーネントで使用されている、最終リリースが2006年のApache Axis 1.4ディストリビューションはサーバーサイドリクエスト偽造（SSRF）の脆弱性の影響を受けます。
    この悪用が難しい脆弱性により、認証されていない攻撃者が、Oracle WebCenter Portalが実行されているハードウェアに接続されている物理的コミュニケーションセグメントにアクセスし、Oracle WebCenter Portalを侵害する可能性があります。（CVE-2019-0227）

Nessusはこれらの問題を悪用したことはありませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端主機上安裝的 Oracle WebCenter Portal 缺少 2020 年 7 月重大修補程式更新 (CPU) 的安全性修補程式。因此會受到包括以下在內的多個弱點影響：

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或特定內容)，且服務在類別路徑中具有 apache-log4j-extra (1.2.x) jar 時，如果攻擊者可提供 JNDI 服務端點，則可能會使服務執行惡意承載。這是 Security Framework 元件的一部分，且為易受利用的弱點，具有網路存取權的未經驗證攻擊者可藉此入侵 Oracle WebCenter Portal。(CVE-2019-17531)

  Oracle Fusion Middleware 的 Oracle WebCenter Portal 產品中存在一個弱點 (元件：Composer)。
    受影響的支援版本是 12.2.1.3.0 和 12.2.1.4.0。這是一個易受利用的弱點，具有網路存取權的未經驗證攻擊者可藉此透過 HTTP 入侵 Oracle WebCenter Portal。若成功攻擊此弱點，則可在未經授權的情況下，建立、刪除或修改重要資料或所有 Oracle WebCenter Portal 可存取的資料，並在未經授權的情況下，讀取 Oracle WebCenter Portal 可存取資料的子集，以及造成 Oracle WebCenter Portal 部分拒絕服務 (拒絕 DOS)。(CVE-2020-14611)

  - 伺服器端要求偽造 (SSRF) 弱點會影響 2006 年最後發行的 Apache Axis 1.4 發行版本，該版本用於 Oracle WebCenter Portal 的 WebCenter Spaces Application 元件。
    如果未經授權的攻擊者可存取附加在 Oracle WebCenter Portal 執行所在硬體上的實體通訊區段，則可利用此難以利用的弱點入侵 Oracle WebCenter Portal。(CVE-2019-0227)

請注意，Nessus 並未嘗試利用這些問題，而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2020 年 7 月关键修补程序更新 (CPU) 的安全修补程序。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 apache-log4j-extra（版本 1.2.x）jar 时，如果攻击者可提供要访问的 JNDI 服务，就可能使服务执行恶意有效负载。这是 Security Framework 组件的一部分，且是一种可轻松利用的漏洞，允许具有网络访问权限的未经身份验证的攻击者破坏 Oracle WebCenter Portal。(CVE-2019-17531)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Composer）。
    支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。这是一种可轻松利用的漏洞，允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改对关键数据或所有 Oracle WebCenter Portal 可访问数据的访问权限，以及对 Oracle WebCenter Portal 可访问数据子集进行未经授权的读取访问，并且可未经授权造成 Oracle WebCenter Portal 部分拒绝服务（部分 DOS）。(CVE-2020-14611)

  - 服务器端请求伪造 (SSRF) 漏洞影响 2006 年最后发布的 Apache Axis  1.4 发行版本，该发行版在 Oracle WebCenter Portal 的 WebCenter Spaced Application 组件中使用。
    这一难以利用的漏洞允许未经身份验证的攻击者访问硬件（Oracle WebCenter Portal 在该硬件上执行）上附加的物理通信段，从而破坏 Oracle WebCenter Portal。(CVE-2019-0227)

请注意，Nessus 并未试图利用这些问题，而只依赖于应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
138564	Oracle WebCenter Portal Multiple Vulnerabilities (Jul 2020 CPU)	Nessus	Misc.	2020/7/16	2025/7/24	critical
138564	Oracle WebCenter Portalの複数の脆弱性（2020年7月CPU）	Nessus	Misc.	2020/7/16	2025/7/24	critical
138564	Oracle WebCenter Portal 多個弱點 (2020 年 7 月 CPU)	Nessus	Misc.	2020/7/16	2025/7/24	critical
138564	Oracle WebCenter Portal 多个漏洞（2020 年 7 月 CPU）	Nessus	Misc.	2020/7/16	2025/7/24	critical

偵測

搜尋 Plugin

critical

critical

critical

critical