遠端主機上安裝的 Oracle Enterprise Manager Cloud Control 版本受到 Enterprise Manager Base Platform 元件中的多個弱點影響：- 在 Oracle Enterprise Manager 的 Enterprise Manager Base Platform 產品中有一個遠端安全性弱點。具有網路存取權限的未經驗證攻擊者可經由 HTTP 傳送 Jython 命令，進而惡意利用此弱點，以透過特製的序列化 PyFunction 物件執行任意程式碼，進而接管 Enterprise Manager Base Platform。(CVE-2016-4000)

遠端主機上安裝的 Oracle Application Testing Suite 版本受到多個弱點影響：- Oracle Enterprise Manager Products Suite 的 Enterprise Manager Base Platform Agent Next Gen (Jython) 元件容易受到惡意利用，可讓未經驗證的攻擊者能夠接管 Enterprise Manager Base Platform。(CVE-2016-4000) - Oracle Enterprise Manager Products Suite 的 Enterprise Manager Base Platform Discovery Framework (OpenSSL) 元件容易受到惡意利用，可讓未經驗證的攻擊者能夠造成 Enterprise Manager Base Platform 經常當機 (DoS)。(CVE-2018-0732) - Oracle Enterprise Manager Products Suite 的 Enterprise Manager Ops Center Networking (OpenSSL) 元件容易受到惡意利用，可讓未經驗證的攻擊者能夠造成 Enterprise Manager Ops Center Platform 經常當機 (DoS)。(CVE-2018-0732) - Oracle Enterprise Manager Products Suite 的 Oracle Application Testing Suite Load Testing for Web Apps (Spring Framework) 元件容易受到惡意利用，可讓未經驗證的攻擊者能夠接管 Enterprise Manager Base Platform。(CVE-2018-1258) - Enterprise Manager Base Platform EM Console 元件容易受到未經驗證攻擊者的惡意利用。成功攻擊可導致未經授權進行更新、插入或刪除存取。(CVE-2018-3303) - Oracle Application Testing Suite Load Testing for Web Apps 元件容易受到未經驗證攻擊者的惡意利用。成功攻擊可導致未經授權進行更新、插入或刪除存取，以及部分拒絕服務。(CVE-2018-3304) - Oracle Application Testing Suite Load Testing for Web Apps 元件容易受到未經驗證攻擊者的惡意利用。成功攻擊可導致未經授權進行更新、插入或刪除存取，以及部分拒絕服務。(CVE-2018-3305) - Oracle Enterprise Manager 的 Enterprise Manager for Virtualization Plug-In Lifecycle (jackson-databind) 元件可讓未經驗證的攻擊者能夠接管 Enterprise Manager for Virtualization。(CVE-2018-12023) - Oracle Enterprise Manager 的 Enterprise Manager for Virtualization Plug-In Lifecycle (jackson-databind) 元件可讓未經驗證的攻擊者能夠接管 Enterprise Manager for Virtualization。(CVE-2018-14718) - Oracle Enterprise Manager 的 Enterprise Manager Ops Center Networking (cURL) 元件可讓未經驗證的攻擊者能夠接管 Enterprise Manager Ops Center。(CVE-2018-1000300)

遠端主機上安裝的 Oracle Enterprise Manager Cloud Control 版本，受到 Enterprise Manager Base Platform 元件中的多個弱點影響：- 在 Jython 2.7.1rc1 之前的版本中，存在一個遠端程式碼執行弱點。未經驗證的遠端攻擊者可惡意利用此弱點，將序列化的函式傳送至還原序列化程式。(CVE-2016-4000) - 在 OpenSSL 中存在一個拒絕服務 (DoS) 弱點，這是因為用戶端花費大量時間從非常大的 prime 值產生金鑰所導致。惡意的遠端攻擊者可惡意利用此問題，透過傳送非常大的 prime 值給用戶端，進而導致用戶端在產生金鑰完畢之前懸置。(CVE-2018-0732)

遠端主機受到 GLSA-201710-28 中所述的弱點影響 (Jython：任意程式碼執行) 據發現，Jython 容易受到任意程式碼執行的影響 (透過將序列化函式傳送至還原序列化程式)。影響：可透過引誘使用者執行惡意程式碼的方式執行任意遠端程式碼。因應措施：目前尚無已知的因應措施。

Alvaro Munoz 和 Christian Schneider 發現 Python 語言實作 Jython 與 Java 無縫整合，其會在還原序列化物件時執行任意程式碼。針對 Debian 7「Wheezy」，這些問題已在 2.5.2-1+deb7u1 版本中修正。建議您升級 jython 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Alvaro Munoz 和 Christian Schneider 發現 Python 語言實作 jython 與 Java 無縫整合，造成將序列化函式傳送至還原序列化程式時會容易觸發執行任意程式碼。

遠端主機上安裝的 Oracle Application Testing Suite 版本受到多個弱點影響：- Oracle Enterprise Manager 的 Oracle Application Testing Suite 產品中的弱點 (元件：Oracle Flow Builder (Jython))。受影響的支援版本是 12.5.0.3、13.1.0.1、13.2.0.1 和 13.3.0.1。可輕易利用的弱點，允許具有網路存取權的未經驗證的攻擊者透過 HTTP 來入侵 Oracle Application Testing Suite。成功攻擊此弱點可導致接管 Oracle Application Testing Suite。(CVE-2016-4000) - Oracle Enterprise Manager 子元件 Oracle Flow Builder (Jython) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者可透過 HTTP 進行網路存取，以入侵 Oracle Application Testing Suite。(CVE-2016-4000) - Oracle Enterprise Manager 子元件 Load Testing for Web Apps (Apache POI) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者可透過 HTTP 進行網路存取，以入侵 Oracle Application Testing Suite，並造成處理程序懸置或經常重複性當機 (完全 DOS)。(CVE-2017-12626) - Oracle Enterprise Manager 子元件 Oracle Flow Builder (Apache POI) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者可透過 HTTP 進行網路存取，以入侵 Oracle Application Testing Suite，並造成處理程序懸置或經常重複性當機 (完全 DOS)。(CVE-2017-12626) - Oracle Enterprise Manager 子元件 Load Testing for Web Apps (AntiSamy) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者，可透過 HTTP 存取網路，並能夠取得與他人互動的話，就能影響額外產品並導致針對某些可存取資料的未經授權的更新、插入或刪除存取權，以及針對可存取資料的未經授權子集的未經授權讀取存取權。(CVE-2017-14735) - Oracle Enterprise Manager 子元件 Oracle Flow Builder (Antisamy) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者，可透過 HTTP 存取網路，並能夠取得與他人互動的話，就能影響額外產品並導致針對某些可存取資料的未經授權的更新、插入或刪除存取權，以及針對可存取資料的未經授權子集的未經授權讀取存取權。(CVE-2017-14735) - Oracle Enterprise Manager 子元件 Load Testing for Web Apps (Application Development Framework) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者可透過 HTTP 進行網路存取，可導致接管 Oracle Application Testing Suite。(CVE-2019-2904) - Oracle Enterprise Manager 子元件 Oracle Flow Builder (jQuery) 的 Oracle Application Testing Suite 產品中有一個不明弱點。未經驗證的遠端攻擊者，可透過 HTTP 存取網路，並能夠取得與他人互動的話，就能影響額外產品並導致針對某些可存取資料的未經授權的更新、插入或刪除存取權，以及針對可存取資料的未經授權子集的未經授權讀取存取權。(CVE-2019-11358) - Oracle Enterprise Manager 子元件 Load Testing for Web Apps (Apache POI) 的 Oracle Application Testing Suite 產品中有一個不明弱點。經驗證的低權限遠端攻擊者，如果具有基礎結構的網路存取權，可能導致未經驗證的重大資料存取權或 Oracle Application Testing Suite 可存取資料的完整存取權。(CVE-2019-12415) - Oracle Enterprise Manager 子元件 Oracle Flow Builder 的 Oracle Application Testing Suite 產品中有一個不明弱點。經驗證的遠端攻擊者，如果可透過 HTTP 存取網路，可能導致未經驗證的重大資料存取權或 Oracle Application Testing Suite 可存取資料的完整存取權。(CVE-2020-2673)

ID	名稱	產品	系列	已發布	已更新	嚴重性
130054	Oracle Enterprise Manager Cloud Control (2019 年 10 月 CPU)	Nessus	Misc.	2019/10/18	2022/4/11	critical
121257	Oracle Application Testing Suite Multiple Vulnerabilities (Jan 2019 CPU)	Nessus	Misc.	2019/1/21	2022/4/11	critical
121225	Oracle Enterprise Manager Cloud Control (Jan 2019 CPU)	Nessus	Misc.	2019/1/17	2022/4/11	critical
104229	GLSA-201710-28：Jython：任意程式碼執行	Nessus	Gentoo Local Security Checks	2017/10/30	2021/1/11	critical
100849	Debian DLA-989-1：jython 安全性更新	Nessus	Debian Local Security Checks	2017/6/19	2021/1/11	critical
101010	Debian DSA-3893-1：jython - 安全性更新	Nessus	Debian Local Security Checks	2017/6/23	2021/1/4	critical
133260	Oracle Application Testing Suite 多個弱點 (2020 年 1 月 CPU)	Nessus	Misc.	2020/1/27	2024/3/28	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical