远程主机上安装的 Oracle Business Process Management Suite 版本受到“2020 年 10 月 CPU”公告中提及的以下漏洞的影响：  

  - Runtime Engine (Application Development Framework) 中的漏洞。未经身份验证的远程攻击者可以通过 HTTP 访问网络，利用此问题入侵 Oracle Business Process Management Suite。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Oracle Business Process Management Suite 中，但攻击也可能会严重影响其他产品。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除对某些 Oracle Business Process Management Suite 可访问数据的访问权限，以及对 Oracle Business Process Management Suite 可访问数据子集进行未经授权的读取访问。 (CVE-2019-2904)

  - Runtime Engine 中的漏洞 (Apache Ant)。经过身份验证的本地攻击者可以利用此问题入侵 Oracle Business Process Management Suite。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Business Process Management Suite 可访问数据的访问权限，以及未经授权即可访问关键数据或完整访问所有 Oracle Business Process Management Suite 可访问数据。(CVE-2020-1945)

  - Runtime Engine 中的漏洞 (jQuery)。未经身份验证的远程攻击者可以通过 HTTP 访问网络，利用此问题入侵 Oracle Business Process Management Suite。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Oracle Business Process Management Suite 中，但攻击也可能会严重影响其他产品。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除对某些 Oracle Business Process Management Suite 可访问数据的访问权限，以及对 Oracle Business Process Management Suite 可访问数据子集进行未经授权的读取访问。 (CVE-2019-11358)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机上安装的 Oracle Database Server 19c 和 21c 版本受到 2022 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Database Server 的 Oracle Database -Machine Learning (Numpy) 组件中存在漏洞。受到影响的受支持版本是 21c。可轻松利用的漏洞允许具有创建会话权限和网络访问权限的低权限攻击者通过 Oracle Net 破坏 Oracle Database - Machine Learning (Numpy)。(CVE-2021-41495)  

  - Oracle Database Server 的 Spatial 和 Graph (jackson-databind) 组件中存在漏洞。受影响的支持版本是 19c 和 21c。可轻松利用的漏洞允许具有“经身份验证用户”权限的低权限攻击者通过 HTTP 进行网络访问，从而破坏 Spatial 和 Graph (jackson-databind)。成功攻击此漏洞可导致在未经授权的情况下使 Spatial 和 Graph (jackson-databind) 挂起或频繁出现崩溃（完整 DOS）。
    (CVE-2020-36518)

  - Oracle Database Server 的 Oracle Notification Server (PCRE2) 组件中存在漏洞。受影响的支持版本是 19c 和 21c。对于容易攻击的漏洞，拥有“订阅者”权限的低权限攻击者可以通过 HTTP 进行网络访问，从而破坏 Oracle Notification Server (PCRE2)。成功攻击此漏洞可导致在未经授权的情况下使 Oracle Notification Server (PCRE2) 挂起或频繁崩溃（完全 DOS）。
    注意：此漏洞仅影响 Windows 系统。(CVE-2022-1587)

  - Oracle Database Server 的 Oracle Database - Advanced Queuing 组件中存在漏洞。受影响的支持版本是 19c。可轻松利用的漏洞允许拥有“DBA 用户权限”的高权限攻击者通过 Oracle Net 进行网络访问，从而破坏 Oracle Database - Advanced Queuing。
    成功利用此漏洞进行攻击可导致接管 Oracle Database - Advanced Queuing。
    (CVE-2022-21596)

  - Oracle Database Server 的 Oracle Database - Sharding 组件中存在漏洞。受影响的支持版本是 19c 和 21c。可轻松利用的漏洞允许拥有“本地登录权限”的高权限攻击者通过本地登录进行网络访问，从而破坏 Oracle Database - Sharding。
    成功利用此漏洞进行攻击可导致接管 Oracle Database - Sharding。
    (CVE-2022-21603)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle 应用程序测试套件版本受到多个漏洞的影响：- Oracle Enterprise Manager 的 Oracle 应用程序测试套件产品中的漏洞（组件：Oracle Flow Builder (Jython)）。受影响的支持版本为 12.5.0.3、13.1.0.1、13.2.0.1 和 13.3.0.1。可轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 来破坏 Oracle 应用程序测试套件。成功攻击此漏洞可导致接管 Oracle 应用程序测试套件。(CVE-2016-4000) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Jython) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件。(CVE-2016-4000) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件，并导致进程挂起或频繁重复发生崩溃（完整 DOS）。(CVE-2017-12626) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件，并导致进程挂起或频繁重复发生崩溃（完整 DOS）。(CVE-2017-12626) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (AntiSamy) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2017-14735) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Antisamy) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2017-14735) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Application Development Framework) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 导致接管 Oracle 应用程序测试套件。(CVE-2019-2904) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (jQuery) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2019-11358) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有对基础设施的网络访问权限、经身份验证的低权限远程攻击者可导致对关键数据进行未经授权的访问，或者对 Oracle 应用程序测试套件的所有可访问数据进行完全访问。(CVE-2019-12415) - Oracle Enterprise Manager 子组件 Oracle Flow Builder 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 可导致对关键数据进行未经授权的访问，或者对 Oracle 应用程序测试套件的所有可访问数据进行完全访问。(CVE-2020-2673)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
142210	Oracle Business Process Management Suite（2020 年 10 月 CPU）	Nessus	Misc.	2020/11/2	2024/2/12	critical
166370	Oracle Database Server（2022 年 10 月 CPU）	Nessus	Databases	2022/10/21	2023/10/24	critical
133260	Oracle 应用程序测试套件多个漏洞（2020 年 1 月 CPU）	Nessus	Misc.	2020/1/27	2024/3/28	critical

检测

插件搜索

critical

critical

critical