遠端主機上安裝的 Oracle Enterprise Manager Cloud Control 版本，受到 Enterprise Manager Base Platform 元件中的多個弱點影響：- 在 Jython 2.7.1rc1 之前的版本中，存在一個遠端程式碼執行弱點。未經驗證的遠端攻擊者可惡意利用此弱點，將序列化的函式傳送至還原序列化程式。(CVE-2016-4000) - 在 OpenSSL 中存在一個拒絕服務 (DoS) 弱點，這是因為用戶端花費大量時間從非常大的 prime 值產生金鑰所導致。惡意的遠端攻擊者可惡意利用此問題，透過傳送非常大的 prime 值給用戶端，進而導致用戶端在產生金鑰完畢之前懸置。(CVE-2018-0732)

遠端主機上安裝的 Oracle Application Testing Suite 版本受到多個弱點影響：- Oracle Enterprise Manager Products Suite 的 Enterprise Manager Base Platform Agent Next Gen (Jython) 元件容易受到惡意利用，可讓未經驗證的攻擊者能夠接管 Enterprise Manager Base Platform。(CVE-2016-4000) - Oracle Enterprise Manager Products Suite 的 Enterprise Manager Base Platform Discovery Framework (OpenSSL) 元件容易受到惡意利用，可讓未經驗證的攻擊者能夠造成 Enterprise Manager Base Platform 經常當機 (DoS)。(CVE-2018-0732) - Oracle Enterprise Manager Products Suite 的 Enterprise Manager Ops Center Networking (OpenSSL) 元件容易受到惡意利用，可讓未經驗證的攻擊者能夠造成 Enterprise Manager Ops Center Platform 經常當機 (DoS)。(CVE-2018-0732) - Oracle Enterprise Manager Products Suite 的 Oracle Application Testing Suite Load Testing for Web Apps (Spring Framework) 元件容易受到惡意利用，可讓未經驗證的攻擊者能夠接管 Enterprise Manager Base Platform。(CVE-2018-1258) - Enterprise Manager Base Platform EM Console 元件容易受到未經驗證攻擊者的惡意利用。成功攻擊可導致未經授權進行更新、插入或刪除存取。(CVE-2018-3303) - Oracle Application Testing Suite Load Testing for Web Apps 元件容易受到未經驗證攻擊者的惡意利用。成功攻擊可導致未經授權進行更新、插入或刪除存取，以及部分拒絕服務。(CVE-2018-3304) - Oracle Application Testing Suite Load Testing for Web Apps 元件容易受到未經驗證攻擊者的惡意利用。成功攻擊可導致未經授權進行更新、插入或刪除存取，以及部分拒絕服務。(CVE-2018-3305) - Oracle Enterprise Manager 的 Enterprise Manager for Virtualization Plug-In Lifecycle (jackson-databind) 元件可讓未經驗證的攻擊者能夠接管 Enterprise Manager for Virtualization。(CVE-2018-12023) - Oracle Enterprise Manager 的 Enterprise Manager for Virtualization Plug-In Lifecycle (jackson-databind) 元件可讓未經驗證的攻擊者能夠接管 Enterprise Manager for Virtualization。(CVE-2018-14718) - Oracle Enterprise Manager 的 Enterprise Manager Ops Center Networking (cURL) 元件可讓未經驗證的攻擊者能夠接管 Enterprise Manager Ops Center。(CVE-2018-1000300)

遠端主機上執行的 Oracle VM VirtualBox 為比 5.2.24 舊的 5.2.x 版或比 6.0.2 舊的 6.0.x 版。因此，會受到 2018 年 1 月重大修補程式更新公告所述多個弱點影響：- 在隨附的協力廠商元件 OpenSSL 程式庫的 DSA 簽章演算法中含有一個拒絕服務弱點，使其容易受到計時旁路攻擊。攻擊者可利用此弱點復原私密金鑰。(CVE-2018-0734) - Oracle VirtualBox 的 Core 元件中存在多個不明的弱點，可讓能夠登入 Oracle VM VirtualBox 執行所在的基礎架構的經驗證本機攻擊者入侵 Oracle VM VirtualBox。(CVE-2018-3309、CVE-2019-2500、CVE-2019-2520、CVE-2019-2521、CVE-2019-2522、CVE-2019-2523、CVE-2019-2524、CVE-2019-2526、CVE-2019-2548、CVE-2019-2552) - Oracle VirtualBox 的 Core 元件中存在多個不明的弱點，可能會讓能夠登入 Oracle VM VirtualBox 執行所在的基礎架構的經驗證本機攻擊者暴露重要或機密的資料。(CVE-2019-2446、CVE-2019-2448、CVE-2019-2450、CVE-2019-2451、CVE-2019-2501、CVE-2019-2504、CVE-2019-2505、CVE-2019-2506、CVE-2019-2525、CVE-2019-2553、CVE-2019-2554、CVE-2019-2555、CVE-2019-2556) - Oracle VirtualBox 的 Core 元件中存在多個拒絕服務弱點，可能會讓能夠登入 Oracle VM VirtualBox 執行所在的基礎架構的經驗證本機攻擊者造成拒絕服務情形。(CVE-2019-2508、CVE-2019-2509、CVE-2019-2527) - Oracle VirtualBox 的 Core 元件中，存在一個 SOAP 通訊協定的拒絕服務弱點，可能會讓未經驗證的遠端攻擊者造成拒絕服務情形。(CVE-2019-2511) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
121225	Oracle Enterprise Manager Cloud Control (Jan 2019 CPU)	Nessus	Misc.	2019/1/17	2022/4/11	critical
121257	Oracle Application Testing Suite Multiple Vulnerabilities (Jan 2019 CPU)	Nessus	Misc.	2019/1/21	2022/4/11	critical
121247	Oracle VM VirtualBox 5.2.x < 5.2.24 / 6.0.x < 6.0.2 (Jan 2019 CPU)	Nessus	Misc.	2019/1/18	2022/5/24	high

偵測

搜尋 Plugin

critical

critical

high