遠端主機上執行的 Atlassian Confluence Server 版本受到 CONFSERVER-93175 公告中提及的一個弱點影響。

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 batik 版本比 1.7-10.10 舊。因此，會受到 ALAS-2023-1695 公告中所提及的多個弱點影響。

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 The remote Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS 主機上安裝的一個套件受到 USN-6117-1 公告中提及的多個弱點影響。

  - Apache Batik 容易受到伺服器端要求偽造的影響，這是因為 xlink: href 屬性的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle WebLogic Server 版本缺少 2023 年 7 月重要修補程式更新 (CPU) 中提及的安全性修補程式。因此，該主機會受到多個弱點影響，包括：

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 產品中存在弱點 (元件：集中式第三方 Jars (Jettison))。受影響的支援版本是 12.2.1.4.0 和 14.1.1.0.0。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Oracle WebLogic Server。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle WebLogic Server 懸置或經常重複性當機 (完全 DOS)。(CVE-2023-1436)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 產品中存在弱點 (元件：Core)。受影響的支援版本是 12.2.1.4.0 和 14.1.1.0.0。攻擊此弱點的難度較低，經由多個通訊協定存取網路的高權限攻擊者可利用此弱點入侵 Oracle WebLogic Server。若攻擊成功，攻擊者可在未經授權的情況下建立、刪除或修改重要資料或所有的 Oracle WebLogic Server 可存取資料，並且可在未經授權的情況下造成 Oracle WebLogic Server 懸置或經常重複性當機 (完全 DOS)。(CVE-2023-22040)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 產品中存在弱點 (元件：集中式第三方 Jars (NekoHTML))。受影響的支援版本是 12.2.1.4.0 和 14.1.1.0.0。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Oracle WebLogic Server。若成功攻擊此弱點，則可能導致接管 Oracle WebLogic Server。(CVE-2023-26119)

  請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle Business Process Management Suite 版本受到 2023 年 4 月 CPU 公告中提及的多個弱點影響。具體來說：

  - 在 Apache MINA SSHD 2.9.1 及更舊版本中，org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider 類別使用 Java 還原序列化載入序列化的 java.security.PrivateKey。類別是使用 Apache MINA SSHD 的實作者可選擇用於載入 SSH 伺服器主機金鑰的數個實作之一。
    (CVE-2022-45047)

  - 在 2.14.0-rc1 之前的 FasterXML jackson-databind 中，啟用 UNWRAP_SINGLE_VALUE_ARRAYS 功能時，未檢查原始值還原序列化程式以避免深層包裝函式陣列巢狀，因此可能會發生資源耗盡問題。 2.13.4.1 和 2.12.17.1 中的其他修正版本 (CVE-2022-42003)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

  - jsoup 是一種 Java HTML 剖析器，專為 HTML 編輯、清理、抓取和跨網站指令碼 (XSS) 安全而構建。
    jsoup 可能未正確清理 HTML，包括「javascript: 」URL 運算式，其可在讀者隨後點擊該連結時允許 XSS 攻擊。如果啟用非預設的「SafeList.preserveRelativeLinks」選項，則不會對包含使用控製字元特製「javascript:」URL 的 HTML 進行清理。如果發布此 HTML 的網站未設定內容安全性原則，則可能發生 XSS 攻擊。此問題已在 jsoup 1.15.3 版中得到修補。使用者應升級至此版本。此外，由於未清理的輸入可能已保留，因此應使用更新版再次清理舊內容。(CVE-2022-36033)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 batik 版本比 1.8-0.12.svn1230816 舊。因此，會受到 ALAS2-2023-1966 公告中所提及的多個弱點影響。

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Debian 10 主機上安裝的一個套件受到 dla-3169 公告中提及的多個弱點影響。

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202401-11 中所述的弱點影響 (Apache Batik：多個弱點)

  - 在 1.10 之前的 1.x 版 Apache Batik 中，還原序列化「AbstractDocument」的子類別時，類別會從 inputStream 取得字串作為類別名稱，然後使用它來呼叫類別的 no-arg 建構函式。修正為先檢查類別類型，然後再在還原序列化中呼叫 newInstance。(CVE-2018-8013)

  - Apache Batik 容易受到伺服器端要求偽造的影響，這是因為 xlink: href 屬性的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

  - Apache Software Foundation Apache XML Graphics Batik 中的伺服器端要求偽造 (SSRF) 弱點。此問題會影響 Apache XML Graphics Batik:1.16. 在 1.16 版中，惡意 SVG 可預設觸發載入外部資源，進而造成資源消耗，在某些情況下甚至會造成資訊洩漏。建議使用者升級至 1.17 或更高版本。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik 中的伺服器端要求偽造 (SSRF) 弱點。此問題會影響 Apache XML Graphics Batik:1.16. 惡意 SVG 可探查使用者設定檔/資料，並將其作為參數直接傳送至 URL。(CVE-2022-44730)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的套件受到 dsa-5264 公告中提及的多個弱點影響。

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle Business Intelligence Enterprise Edition 12.2.1.4 受到 2024 年 4 月 CPU 公告中提及的多個弱點影響，包括：

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Analytics Web General (Apache Batik))。受影響的支援版本是 12.2.1.4.0。利用此弱點的難度較低，透過 HTTP 存取網路的未經驗證的攻擊者可以藉此入侵 Oracle Business Intelligence Enterprise Edition。若成功攻擊此弱點，攻擊者未經授權即可存取重要資料，或完整存取所有 Oracle Business Intelligence Enterprise Edition 可存取資料。(CVE-2022-42890)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Analytics Server (jackson-databind))。受影響的支援版本是 7.0.0.0.0 和 12.2.1.4.0。攻擊此弱點的難度較大，低權限攻擊者可以登入 Oracle Business Intelligence Enterprise Edition 執行所在的基礎架構，進而入侵 Oracle Business Intelligence Enterprise Edition。若攻擊成功，攻擊者未經授權即可導致 Oracle Business Intelligence Enterprise Edition 懸置或經常重複性當機 (完全 DOS)。(CVE-2023-35116)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件：Analytics Web Answers)。受影響的支援版本是 7.0.0.0.0 和 12.2.1.4.0。利用此弱點的難度較低，透過 HTTP 存取網路的低權限攻擊者可以藉此入侵 Oracle Business Intelligence 企業版。若要成功攻擊，必須要與除攻擊者以外的其他人進行人爲互動。雖然弱點位於 Oracle Business Intelligence Enterprise Edition 中，但攻擊可能對其他產品造成重大影響 (範圍改變)。若成功攻擊此弱點，攻擊者未經授權即可對部分 Oracle Business Intelligence Enterprise Edition 可存取資料執行更新、插入或刪除作業，並且可以未經授權讀取 Oracle Business Intelligence Enterprise Edition 可存取資料中的部分資料。(CVE-2024-21064)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
186216	Atlassian Confluence 7.13 / 7.19.x < 7.19.16 (CONFSERVER-93175)	Nessus	CGI abuses	2023/11/23	2024/6/5	high
172184	Amazon Linux AMI：batik (ALAS-2023-1695)	Nessus	Amazon Linux Local Security Checks	2023/3/7	2023/8/31	high
176489	Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS：Apache Batik 弱點 (USN-6117-1)	Nessus	Ubuntu Local Security Checks	2023/5/30	2023/10/16	high
178618	Oracle WebLogic Server (2023 年 7 月 CPU)	Nessus	Misc.	2023/7/20	2024/1/4	critical
174472	Oracle Business Process Management Suite (2023 年 4 月 CPU)	Nessus	Misc.	2023/4/19	2023/4/21	critical
172170	Amazon Linux 2：batik (ALAS-2023-1966)	Nessus	Amazon Linux Local Security Checks	2023/3/7	2023/8/31	high
166735	Debian DLA-3169-1：batik - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/10/31	2022/11/28	high
187730	GLSA-202401-11：Apache Batik：多個弱點	Nessus	Gentoo Local Security Checks	2024/1/9	2024/1/9	critical
166705	Debian DSA-5264-1：batik - 安全性更新	Nessus	Debian Local Security Checks	2022/10/30	2022/11/28	high
193559	Oracle Business Intelligence Enterprise Edition (2024 年 4 月 CPU)	Nessus	Misc.	2024/4/19	2024/4/19	high

偵測

搜尋 Plugin

high

high

high

critical

critical

high

high

critical

high

high