遠端主機上安裝的 Oracle Database Server 版本受到 2024 年 7 月 CPU 公告中提及的多個弱點。

  - Netty 專案是一個事件驅動的非同步網路應用程式架構。在 4.1.86.Final 之前的版本中，剖析格式錯誤的特製訊息時，可能會因無限遞回而造成 StackOverflowError。此問題已在 4.1.86.Final 版中修正。除了使用自訂 HaProxyMessageDecoder 外，沒有其他因應措施。(CVE-2022-41881)

  - Netty 專案是一個事件驅動的非同步網路應用程式架構。在 4.1.83.Final 到 4.1.86.Final 版中，以 _iterator_ 值呼叫 `DefaultHttpHeadesr.set` 時，並未執行標頭值驗證，這讓迭代器中的惡意標頭值能夠執行 HTTP 回應分割攻擊。此問題已在 4.1.86.Final 版中修正。整合器可將 `DefaultHttpHeaders.set(CharSequence, Iterator<?>)` 呼叫變更為 `remove()` 呼叫，並在值的迭代器迴圈中呼叫 `add()`，即可解決此問題。(CVE-2022-41915)

  - 在 Python ssl 模組中發現一個缺陷，其中 ssl.SSLContext 方法 cert_store_stats() 和 get_ca_certs() 有記憶體爭用情形。如果在將憑證載入至 SSLContext 的同時呼叫方法，則可能會觸發爭用條件，例如在已設定憑證目錄的 TLS 交握期間。此問題已在 CPython 3.10.14、3.11.9、3.12.3 和 3.13.0a5 中修正。(CVE-2024-0397)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Database Server (2024 年 7 月 CPU)

high Nessus Plugin ID 202724

版本 1.3