远程主机上安装的 Oracle Enterprise Manager Cloud Control 版本受到 Enterprise Manager Base Platform 组件中的多个漏洞影响：- 在 Oracle Enterprise Manager 的 Enterprise Manager Base Platform 产品中，存在远程安全漏洞。具有网络访问权限的未经身份验证的攻击者可经 HTTP 通过发送 Jython 命令，经构造的序列化 PyFunction 对象执行任意代码，从而利用此漏洞导致接管 Enterprise Manager Base Platform。(CVE-2016-4000)

远程主机受到 GLSA-201710-28 中所述漏洞的影响（Jython：任意代码执行）据发现，Jython 通过将序列化函数发送至反序列化程序，容易受到任意代码执行的影响。影响：可通过引诱用户执行恶意代码的方式执行任意远程代码。解决方法：目前无任何已知的解决方法。

Alvaro Munoz 和 Christian Schneider 发现与 Java 无缝集成的 Python 语言的实现 Jython 在反序列化对象时会执行任意代码。对于 Debian 7“Wheezy”，这些问题已在 2.5.2-1+deb7u1 版本中修复。建议您升级 jython 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程主机上安装的 Oracle 应用程序测试套件版本受到多个漏洞的影响：- Oracle Enterprise Manager 的 Oracle 应用程序测试套件产品中的漏洞（组件：Oracle Flow Builder (Jython)）。受影响的支持版本为 12.5.0.3、13.1.0.1、13.2.0.1 和 13.3.0.1。可轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 来破坏 Oracle 应用程序测试套件。成功攻击此漏洞可导致接管 Oracle 应用程序测试套件。(CVE-2016-4000) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Jython) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件。(CVE-2016-4000) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件，并导致进程挂起或频繁重复发生崩溃（完整 DOS）。(CVE-2017-12626) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件，并导致进程挂起或频繁重复发生崩溃（完整 DOS）。(CVE-2017-12626) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (AntiSamy) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2017-14735) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Antisamy) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2017-14735) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Application Development Framework) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 导致接管 Oracle 应用程序测试套件。(CVE-2019-2904) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (jQuery) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2019-11358) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有对基础设施的网络访问权限、经身份验证的低权限远程攻击者可导致对关键数据进行未经授权的访问，或者对 Oracle 应用程序测试套件的所有可访问数据进行完全访问。(CVE-2019-12415) - Oracle Enterprise Manager 子组件 Oracle Flow Builder 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 可导致对关键数据进行未经授权的访问，或者对 Oracle 应用程序测试套件的所有可访问数据进行完全访问。(CVE-2020-2673)

Alvaro Munoz 和 Christian Schneider 发现与 Java 无缝集成的 Python 语言的实现 jython 在向序列化器发送序列化函数时，容易触发任意代码执行。

远程主机上安装的 Oracle Enterprise Manager Cloud Control 版本受到 Enterprise Manager Base Platform 组件中的多个漏洞影响：- 在 Jython 2.7.1rc1 之前的版本中，存在远程代码执行漏洞。未经身份验证的远程攻击者可利用此问题，将序列化函数发生至反序列化器。(CVE-2016-4000) - 在 OpenSSL 中存在拒绝服务 (DoS) 漏洞，这是因为客户端花费大量时间从非常大的 prime 值产生密钥所致。恶意的远程攻击者可利用此问题，通过发送非常大的 prime 值给客户端，进而导致客户端在产生密钥完毕之前挂起。(CVE-2018-0732)

远程主机上安装的 Oracle 应用程序测试套件版本受到多个漏洞的影响：- Oracle Enterprise Manager Products Suite 的 Enterprise Manager Base Platform Agent Next Gen (Jython) 组件容易遭到利用，可让未经身份验证的攻击者能接管 Enterprise Manager Base Platform。(CVE-2016-4000) - Oracle Enterprise Manager Products Suite 的 Enterprise Manager Base Platform Discovery Framework (OpenSSL) 组件容易遭到利用，可让未经身份验证的攻击者能够造成 Enterprise Manager Base Platform 经常崩溃 (DoS)。(CVE-2018-0732) - Oracle Enterprise Manager Products Suite 的 Enterprise Manager Ops Center Networking (OpenSSL) 组件容易遭到利用，可让未经身份验证的攻击者能够造成 Enterprise Manager Ops Center Platform 经常崩溃 (DoS)。(CVE-2018-0732) - Oracle Enterprise Manager Products Suite 的 Oracle Application Testing Suite Load Testing for Web Apps (Spring Framework) 组件容易遭到利用，可让未经身份验证的攻击者能够接管 Enterprise Manager Base Platform。(CVE-2018-1258) - Enterprise Manager Base Platform EM Console 组件容易遭到未经身份验证攻击者的利用。成功攻击可导致在未经授权的情况下进行更新、插入或删除访问。(CVE-2018-3303) - Oracle Application Testing Suite Load Testing for Web Apps 组件容易遭到未经身份验证攻击者的利用。成功攻击可导致未经授权进行更新、插入或删除访问，以及部分拒绝服务。(CVE-2018-3304) - Oracle Application Testing Suite Load Testing for Web Apps 组件容易遭到未经身份验证攻击者的利用。成功攻击可导致未经授权进行更新、插入或删除访问，以及部分拒绝服务。(CVE-2018-3305) - Oracle Enterprise Manager 的 Enterprise Manager for Virtualization Plug-In Lifecycle (jackson-databind) 组件可让未经身份验证的攻击者能够接管 Enterprise Manager for Virtualization。(CVE-2018-12023) - Oracle Enterprise Manager 的 Enterprise Manager for Virtualization Plug-In Lifecycle (jackson-databind) 组件可让未经身份验证的攻击者能够接管 Enterprise Manager for Virtualization。(CVE-2018-14718) - Oracle Enterprise Manager 的 Enterprise Manager Ops Center Networking (cURL) 组件可让未经身份验证的攻击者能够接管 Enterprise Manager Ops Center。(CVE-2018-1000300)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
130054	Oracle Enterprise Manager Cloud Control （2019 年 10 月 CPU）	Nessus	Misc.	2019/10/18	2022/4/11	critical
104229	GLSA-201710-28：Jython：任意代码执行	Nessus	Gentoo Local Security Checks	2017/10/30	2025/11/17	critical
100849	Debian DLA-989-1：jython 安全更新	Nessus	Debian Local Security Checks	2017/6/19	2025/12/16	critical
133260	Oracle 应用程序测试套件多个漏洞（2020 年 1 月 CPU）	Nessus	Misc.	2020/1/27	2024/3/28	critical
101010	Debian DSA-3893-1：jython - 安全更新	Nessus	Debian Local Security Checks	2017/6/23	2025/12/15	critical
121225	Oracle Enterprise Manager Cloud Control (Jan 2019 CPU)	Nessus	Misc.	2019/1/17	2022/4/11	critical
121257	Oracle Application Testing Suite Multiple Vulnerabilities (Jan 2019 CPU)	Nessus	Misc.	2019/1/21	2024/11/4	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical