Oracle Primavera Unifier(2020 年 4 月 CPU)

critical Nessus 插件 ID 135584

简介

远程主机受到多个漏洞的影响

描述

远程主机上安装的测试产品版本低于测试版本。因此,该产品受到 2020 年 4 月 CPU 公告中提及的多个漏洞的影响。

- 在版本低于 2.3.0 的 Terracotta Quartz Scheduler 中,xml/XMLSchedulingDataProcessor.java 的 initDocumentParser 允许攻击者通过作业描述发动 XXE 攻击。(CVE-2019-13990)

- 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型(全局或特定属性均可),且该服务在类路径中拥有 p6spy (3.8.6) jar 时,如果攻击者可找到要访问的 RMI 服务端点,就可能使服务执行恶意有效负载。存在此问题的原因是 com.p6spy.engine.spy.P6DataSource 的错误处理。
(CVE-2019-16943)

请注意,Nessus 尚未测试此问题,而是只依靠应用程序自我报告的版本号。

解决方案

根据 2020 年 4 月 Oracle 关键补丁更新公告,应用相应的补丁。

另见

https://www.oracle.com/security-alerts/cpuapr2020.html

https://www.oracle.com/a/tech/docs/cpuapr2020cvrf.xml

插件详情

严重性: Critical

ID: 135584

文件名: oracle_primavera_unifier_cpu_apr_2020.nasl

版本: 1.9

类型: local

系列: CGI abuses

发布时间: 2020/4/15

最近更新时间: 2024/3/18

配置: 启用全面检查

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.9

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2019-13990

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

CVSS 分数来源: CVE-2019-16943

漏洞信息

CPE: cpe:/a:oracle:primavera_unifier

必需的 KB 项: installed_sw/Oracle Primavera Unifier, www/weblogic

可利用: true

易利用性: Exploits are available

补丁发布日期: 2020/4/14

漏洞发布日期: 2020/4/14

参考资料信息

CVE: CVE-2019-13990, CVE-2019-16943, CVE-2019-5427

IAVA: 2020-A-0140-S