Oracle WebCenter Portal 多个漏洞（2023 年 4 月 CPU）

medium Nessus 插件 ID 174540

语言：

简介

远程主机上安装的应用程序服务器受到多个漏洞的影响。

描述

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2023 年 4 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响：

- Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (Netty)）。支持的版本中受影响的是 12.2.1.4.0。Netty 项目是一个事件驱动的异步网络应用程序框架。在低于 4.1.86.Final 的版本中，由于无限递归，在解析畸形构建的消息时可引发堆栈溢出错误。此问题已在 4.1.86.Final 版本中得到修补。除使用自定义 HaProxyMessageDecoder 外，没有其他变通方案。 (CVE-2022-41881)

- Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (XStream)）。支持的版本中受影响的是 12.2.1.4.0。使用 Xstream 序列化 XML 数据的用户可能容易受到拒绝服务攻击 (DOS)。如果对用户提供的输入运行解析器，攻击者可能会提供通过堆栈溢位造成解析器崩溃的内容。此影响可能支持拒绝服务攻击。(CVE-2022-40151)

- Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：安全框架 (jackson-databind)）。支持的版本中受影响的是 12.2.1.4.0。在 2.14.0-rc1 之前的 FasterXML jackson-databind 中，当启用 UNWRAP_SINGLE_VALUE_ARRAYS 功能时，由于缺少用以避免深层封装程序数组嵌套的对原始值反序列化程序的检查，可能会发生资源耗尽。 2.13.4.1 和 2.12.17.1 中的其他补丁版本 (CVE-2022-42003)

请注意，Nessus 并不试图利用此问题，而只依赖于应用程序自我报告的版本号。