远程主机上安装的 Oracle Business Process Management Suite 版本受到 2023 年 4 月 CPU 公告中提及的多个漏洞影响。特别地：

  - Apache MINA SSHD <= 2.9.1 中的 org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider 类使用 Java 反序列化加载经序列化的 java.security.PrivateKey。类是指使用 Apache MINA SSHD 的实现者可选择用来加载 SSH 服务器主机密钥的多个实现之一。
    (CVE-2022-45047)

  - 在 2.14.0-rc1 之前的 FasterXML jackson-databind 中，当启用 UNWRAP_SINGLE_VALUE_ARRAYS 功能时，由于缺少用以避免深层封装程序数组嵌套的对原始值反序列化程序的检查，可能会发生资源耗尽。 2.13.4.1 和 2.12.17.1 中的其他补丁版本 (CVE-2022-42003)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

  - jsoup 是 Java HTML 解析器，专为构建用于 HTML 编辑、清理、抓取和跨站脚本 (XSS) 安全。
    jsoup 可能未正确审查包含 `javascript: ` URL 表达式的 HTML，这可能会在有读者随后单击该链接时招致 XSS 攻击。如果启用了非默认的 `SafeList.preserveLinks` 选项，系统将不会审查包含使用控制字符构建的 `javascript: ` URL 的 HTML。如果用于发布此 HTML 的站点未设置内容安全策略，则可能导致 XSS 攻击。已在 jsoup 1.15.3 中修复此问题 。用户应升级到此版本。此外，由于可能保留了未经审查的输入，应使用更新后的版本再次清理旧内容。(CVE-2022-36033)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Oracle Business Process Management Suite（2023 年 4 月 CPU）

critical Nessus 插件 ID 174472

版本 1.0