远程主机上安装的 Oracle Business Process Management Suite 版本受到 2022 年 4 月 CPU 公告中提及的多个漏洞影响。特别地：

  - Oracle Fusion Middleware 的 Oracle Business Process Management Suite  产品中的漏洞（组件：BPM Studio (Apache Groovy)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许低权限攻击者登录执行 Oracle Business Process Management Suite 的基础架构，从而破坏 Oracle Business Process Management Suite。成功攻击此漏洞可导致在未经授权的情况下访问重要数据，或完整访问 Oracle Business Process Management Suite 可访问的所有数据。
    （CVE-2020-17521）

  - Oracle Fusion Middleware 的 Oracle Business Process Management Suite  产品中的漏洞（组件：安装程序 (jsoup)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。此漏洞较容易攻击，允许未经身份验证的攻击者通过 HTTPS 进行网络访问，从而入侵 Oracle Business Process Management Suite 。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Solaris 挂起或频繁反复崩溃（完全 DOS）。（CVE-2021-37714）

  - Oracle Fusion Middleware 的 Oracle Business Process Management Suite  产品中的漏洞（组件：运行时引擎 (JBoss Enterprise Application Platform)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。此漏洞较容易攻击，允许未经身份验证的攻击者通过 HTTPS 进行网络访问，从而入侵 Oracle Business Process Management Suite 。成功利用此漏洞进行攻击可导致接管 Oracle Business Process Management Suite。(CVE-2022-23305)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 4676 公告中提及的多个漏洞的影响。

  - resteasy：错误消息泄露端点类信息 (CVE-2021-20289)

  - mina-sshd-core：Apache Mina SSHD 服务器中存在内存泄漏拒绝服务问题 (CVE-2021-30129)

  - undertow：基于 HTTP/2 的流控制中存在潜在安全问题，可导致 DOS (CVE-2021-3629)

  - wildfly：JBOSS_LOCAL_USER 质询位置不正确，可导致向所有本地用户授予访问权限 (CVE-2021-3717)

  - jsoup：构建的输入可导致 jsoup HTML 和 XML 解析器卡住 (CVE-2021-37714)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2021: 5149 公告中提及的一个漏洞影响。

  - resteasy：错误消息泄露端点类信息 (CVE-2021-20289)

  - undertow：基于 HTTP/2 的流控制中存在潜在安全问题，可导致 DOS (CVE-2021-3629)

  - wildfly-elytron：ScramServer 中存在潜在时序攻击 (CVE-2021-3642)

  - wildfly：JBOSS_LOCAL_USER 质询位置不正确，可导致向所有本地用户授予访问权限 (CVE-2021-3717)

  - jsoup：构建的输入可导致 jsoup HTML 和 XML 解析器卡住 (CVE-2021-37714)

  - xml-security：XPath 转换滥用可导致信息泄露 (CVE-2021-40690)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2022 年 4 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响：

  - 捆绑的 jackson-databind 组件中存在 XML 外部实体漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而访问、创建或删除 Oracle WebCenter Portal 可访问的所有数据。（CVE-2020-25649）

  - 捆绑的 Apache Tika、jsoup、Netty 和 Apache Commons Compress 组件中存在拒绝服务漏洞，这些漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而造成 Oracle WebCenter Portal 挂起或频繁反复崩溃。（CVE-2020-28657、CVE-2021-36090、CVE-2021-37137、CVE-2021-37714）

  - 捆绑的 Apache Commons IO 组件中存在路径遍历漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而读取、更新或删除 Oracle WebCenter Portal 可访问的一部分数据。
    (CVE-2021-29425)

  - 捆绑的 Apache PDFBox 组件中存在拒绝服务漏洞，该漏洞允许未经身份验证的攻击者登录执行 Oracle WebCenter Portal 的基础架构，并与其他用户进行人工交互，从而造成 Oracle WebCenter Portal 挂起或频繁反复崩溃。（CVE-2021-31912）

  - 捆绑的 CKEditor 组件中存在跨站脚本漏洞，该漏洞允许低权限攻击者进行网络访问，并与其他用户进行人工交互，从而读取、更新或删除 Oracle WebCenter Portal 可访问的一部分数据。（CVE-2021-41165）

  - 捆绑的 Apache Log4J 组件中存在远程代码执行漏洞，该漏洞允许高权限攻击者通过 HTTP 进行网络访问，从而在 Oracle WebCenter Portal 上执行任意代码。（CVE-2021-44832）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
159978	Oracle Business Process Management Suite（2022 年 4 月 CPU）	Nessus	Misc.	2022/4/20	2023/11/1	critical
155386	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.4.2 安全更新（中等）(RHSA-2021: 4676)	Nessus	Red Hat Local Security Checks	2021/11/17	2024/11/7	high
156109	RHEL 6：RHEL 6 上的 Red Hat JBoss Enterprise Application Platform 7.3.10 安全更新（中等）(RHSA-2021: 5149)	Nessus	Red Hat Local Security Checks	2021/12/15	2024/11/7	high
159954	Oracle WebCenter Portal 多个漏洞（2022 年 4 月 CPU）	Nessus	Misc.	2022/4/20	2023/10/24	high

检测

插件搜索

critical

high

high

high