遠端主機受到 GLSA-202301-09 中所述的弱點影響 (protobuf-java：拒絕服務)

  - 在 protobuf-java core 和 lite 3.21.7、3.20.3、3.19.6 和 3.16.3 之前的版本中有二進位資料剖析問題，這可能會造成拒絕服務攻擊。輸入如果含有多個具有重複或未知欄位的非重複內嵌訊息執行個體，會造成物件在可變和不可變形式之間來回轉換，進而可能導致記憶體回收長時間暫停。我們建議更新至上述版本。(CVE-2022-3171)

  - 在 protobuf-java core 和 lite 3.21.7、 3.20.3、3.19.6 和 3.16.3 之前的版本中有類似於 CVE-2022-3171 的剖析問題，但這涉及 textformat，而且可能會造成拒絕服務攻擊。輸入如果含有多個具有重複或未知欄位的非重複內嵌訊息執行個體，會造成物件在可變和不可變形式之間來回轉換，進而可能導致記憶體回收長時間暫停。我們建議更新至上述版本。(CVE-2022-3509)

  - 在 protobuf-java core 和 lite 3.21.7、 3.20.3、3.19.6 和 3.16.3 之前的版本中有類似於 CVE-2022-3171 的剖析問題，但這涉及訊息類型的擴充功能，而且可能會造成拒絕服務攻擊。輸入如果含有多個具有重複或未知欄位的非重複內嵌訊息執行個體，會造成物件在可變和不可變形式之間來回轉換，進而可能導致記憶體回收長時間暫停。我們建議更新至上述版本。(CVE-2022-3510)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle Business Intelligence Enterprise Edition (OAS) 6.4.0.0.0 受到 2024 年 1 月 CPU 公告中提及的多個弱點影響，包括：

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Analytics Server (Apache Solr))。受影響的支援版本是 6.4.0.0.0。利用此弱點的難度較低，透過 HTTP 存取網路的未經驗證的攻擊者可以藉此入侵 Oracle Business Intelligence Enterprise Edition。若攻擊成功，攻擊者未經授權即可導致 Oracle Business Intelligence Enterprise Edition 懸置或經常重複性當機 (完全 DOS)。(CVE-2021-33813)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Visual Analyzer (Apache Ivy))。受影響的支援版本是 6.4.0.0.0。利用此弱點的難度較低，透過 HTTP 存取網路的未經驗證的攻擊者可以藉此入侵 Oracle Business Intelligence 企業版。若成功攻擊此弱點，則可能導致在未經授權的情況下存取重要資料，或完全存取所有可存取的 Oracle Business Intelligence 企業版資料，以及未經授權造成 Oracle Business Intelligence Enterprise Edition 局部拒絕服務 (局部 DOS)。(CVE-2022-46751)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Pod Admin)。受影響的支援版本是 6.4.0.0.0 和 12.2.1.4.0。利用此弱點的難度較低，透過 HTTP 存取網路的低權限攻擊者可以藉此入侵 Oracle Business Intelligence 企業版。雖然弱點存在於 Oracle Business Intelligence 企業版中，但攻擊可能對其他產品造成重大影響 (範圍變更)。若成功攻擊此弱點，攻擊者可以在未經授權的情況下讀取 Business Intelligence Enterprise Edition 可存取資料之子集。(CVE-2024-20904) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼判斷。

遠端主機上安裝的 Oracle Business Intelligence Enterprise Edition (OAS) 7.0.0.0 受到 2024 年 1 月 CPU 公告中提及的多個弱點影響，包括：

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Installation (Google Gson))。受影響的支援版本是 6.4.0.0.0 和 7.0.0.0.0。利用此弱點的難度較低，透過 HTTP 存取網路的未經驗證的攻擊者可以藉此入侵 Oracle Business Intelligence 企業版。若攻擊成功，攻擊者未經授權即可導致 Oracle Business Intelligence Enterprise Edition 懸置或經常重複性當機 (完全 DOS)。(CVE-2022-25647)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Majel Mobile Service (JSON-java))。受影響的支援版本是 6.4.0.0.0 和 7.0.0.0.0。利用此弱點的難度較低，透過 HTTP 存取網路的未經驗證的攻擊者可以藉此入侵 Oracle Business Intelligence 企業版。若攻擊成功，攻擊者未經授權即可導致 Oracle Business Intelligence Enterprise Edition 懸置或經常重複性當機 (完全 DOS)。(CVE-2023-5072)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Visual Analyzer (Snappy))。受影響的支援版本是 7.0.0.0.0。利用此弱點的難度較低，透過 HTTP 存取網路的未經驗證的攻擊者可以藉此入侵 Oracle Business Intelligence Enterprise Edition。若攻擊成功，攻擊者未經授權即可導致 Oracle Business Intelligence Enterprise Edition 懸置或經常重複性當機 (完全 DOS)。(CVE-2023-43642)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 protobuf-java core 和 lite 3.21.7、 3.20.3、3.19.6 和 3.16.3 之前的版本中有類似於 CVE-2022-3171 的剖析問題，但這涉及訊息類型的擴充功能，而且可能會造成拒絕服務攻擊。輸入如果含有多個具有重複或未知欄位的非重複內嵌訊息執行個體，會造成物件在可變和不可變形式之間來回轉換，進而可能導致記憶體回收長時間暫停。我們建議更新至上述版本。(CVE-2022-3510)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 Splunk 版本低於測試版本。因此，它會受到 SVD-2023-0808 公告中提及的一個弱點影響。

  - 使用 cgo 時，go 命令可能會在構建時執行任意程式碼。在惡意模組上執行 go get 時，或執行構建未受信任程式碼的任何其他命令時，可能會發生這種情況。這可以由透過 #cgo LDFLAGS 指示詞指定的連結器旗標觸發。未正確處理包含內嵌空格的旗標，進而允許透過 LDFLAGS 清理將不允許的旗標包含在另一個旗標的引數中。這會影響 gccgo 編譯器的使用。(CVE-2023-29405)

  - curl 7.84.0 之前版本將 cookie、alt-svc 和 hsts 資料儲存到本機檔案時，會透過將暫存名稱重新命名為最終目標檔案名稱來完成作業，從而使此作業成爲原子型作業。在此重新命名作業中，它可能會意外*放寬*針對目標檔案的權限，讓更多使用者可存取更新後的檔案。(CVE-2022-32207)

  - decode-uri-component 0.2.0 容易產生不當輸入驗證問題，進而導致 DoS。(CVE-2022-38900)

  - Node.js 12.1.0 之前版本的 got 套件 (也已經在 11.8.5 中得到修正) 允許重新導向至 UNIX 通訊端。
    (CVE-2022-33987)

  - 在 webpack loader-utils 中，透過 parseQuery.js 中的名稱變數，可在 parseQuery.js 的 parseQuery 函式中造成原型污染弱點。1.4.1 之前的所有版本和 2.0.3 版本會受到此弱點影響。(CVE-2022-37601)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
169832	GLSA-202301-09：protobuf-java：拒絕服務	Nessus	Gentoo Local Security Checks	2023/1/11	2023/1/11	high
189734	Oracle Business Intelligence Enterprise Edition (OAS 6.4) (2024 年 1 月 CPU)	Nessus	Misc.	2024/1/29	2024/1/30	high
189732	Oracle Business Intelligence Enterprise Edition (OAS 7.0) (2024 年 1 月 CPU)	Nessus	Misc.	2024/1/29	2024/1/30	high
224820	Linux Distros 未修補弱點：CVE-2022-3510	Nessus	Misc.	2025/3/5	2025/3/5	high
194928	Splunk Enterprise 8.2.0 < 8.2.12、9.0.0 < 9.0.6、9.1.0 < 9.1.1 (SVD-2023-0808)	Nessus	CGI abuses	2024/5/2	2024/7/29	critical

偵測

搜尋 Plugin

high

high

high

high

critical