Oracle Identity Manager2026 年 4 月 CPU

medium Nessus 插件 ID 309960

语言：

简介

远程主机受到多个漏洞影响

描述

远程主机上安装的 Identity Manager 的 12.2.1.4.0 版本受到 2026 年 4 月 CPU 公告中提及的多个漏洞的影响

- 在 Eclipse Jetty 版本 9.4.0 至 9.4.56 中当膨胀请求正文时遇到 gzip 错误时可能会错误地释放缓冲区。这可导致请求之间的数据损坏和/或无意的共享。 (CVE-2024-13009)

- Oracle Fusion Middleware 的 Oracle Identity Manager 产品中的漏洞组件Identity Console。未经身份验证且可通过 HTTP 访问网络的攻击者可通过易于利用的漏洞破坏 Oracle Identity Manager。除攻击者以外的他人进行交互是实现成功攻击的必要条件尽管漏洞存在于 Oracle 身份管理器中但攻击也可能会严重影响其他产品范围变更。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle Identity Manager 可访问数据的访问权限以及对 Oracle Identity Manager 可访问数据子集进行未经授权的读取访问。 (CVE-2026-34283)

- 即使将 verifyHostName 配置属性或 log4j2.sslVerifyHostName 系统属性设置为 true，Apache Log4j Core 版本 2.0-beta9 到 2.25.2 中的 Socket Appender 也不执行对等证书的 TLS 主机名验证。在下列情况下此问题可能允许中间人攻击者拦截或重定向日志流量* 攻击者能够拦截或重定向客户端与日志接收器之间的网络流量。 * 攻击者可以提供受套接字 Appender 的配置信任存储信任的证书颁发机构颁发的服务器证书如果未配置自定义信任存储则由默认 Java 信任存储信任。建议用户升级到 Apache Log4j Core 版本 2.25.3该版本可解决此问题。作为替代的缓解措施可将套接字 Appender 配置为使用私有或受限的信任根来限制受信任证书集。 (CVE-2025-68161)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。