远程主机上安装的 Oracle Business Intelligence Publisher 版本为低于 11.1.1.7.181016 的 11.1.1.7.x、低于 11.1.1.9.181016 的 11.1.1.9.x、低于 12.2.1.3.181016 的 12.2.1.3.x，或低于 12.2.1.4.181016 的 12.2.1.4.x。因此，受到 2018 年 10 月关键修补程序更新公告提及的多个漏洞的影响：- 在 Apache Log4j 2.8.2 之前的 2.x 中存在反序列化漏洞。未经身份验证的远程攻击者可通过特制的二进制文件，利用此问题在目标主机上执行任意代码 (CVE-2017-5645)。- 在 Analytics Server、Oracle BI Publisher 中存在信息泄露漏洞。受影响的支持版本为 12.2.1.3.0。未经验证的远程攻击者可利用此漏洞，通过 HTTP 泄露可能敏感的信息。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Oracle Business Intelligence Enterprise Edition 中，但攻击也可能会严重影响其他产品 (CVE-2018-3204)。- 在 Apache Batik 1.10 之前的 1.x 中存在反序列化漏洞，这是因为 `AbstractDocument` 子类所致。未经身份验证的远程攻击者可利用此问题，通过反序列化 `AbstractDocument` 子类，在目标主机上执行任意代码 (CVE-2018-8013)。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

Oracle Fusion Middleware 的 Oracle WebCenter Sites 组件容易受到多个漏洞的影响：

  - Oracle Fusion Middleware 的 Oracle WebCenter Sites 组件中存在反序列化漏洞（子组件：高级 UI (Apache Groovy)），这是缺少对象反序列化代码的隔离所致。未经身份验证的远程攻击者可利用此漏洞，通过 HTTP 在目标主机上执行任意代码。
    (CVE-2016-6814)

  - Oracle Fusion Middleware 的 Oracle WebCenter Sites 组件中存在远程代码执行漏洞（子组件：高级 UI (Apache Commons FileUpload)），原因不明。未经身份验证的远程攻击者可利用此漏洞绕过身份验证并执行任意命令。
    (CVE-2016-1000031)

  - Oracle Fusion Middleware 的 Oracle WebCenter Sites 组件中存在拒绝服务 (DoS) 漏洞（子组件：第三方工具 (Apache Batik)），这是反序列化问题所致。未经身份验证的远程攻击者可利用此问题，通过 HTTP 阻止应用程序正常工作。(CVE-2018-8013)

  - Oracle Fusion Middleware 的 Oracle WebCenter Sites 组件中存在拒绝服务 (DoS) 漏洞（子组件：高级 UI (Spring Framework)），这是处理范围请求（含有大量范围和/或重叠的大范围）的问题所致。未经身份验证的远程攻击者可利用此问题，通过 HTTP 造成应用程序停止响应。(CVE-2018-15765)

请注意，Nessus 并未试图利用这些问题，而是只依靠应用程序自我报告的版本号。

Man Yue Mo 在 SVG 图像库 Apache Batik 中发现了一个安全漏洞。在反序列化 AbstractDocument 子类调用 newInstance 之前，缺少对类的类型检查，可能会造成信息泄露。对于 Debian 7“Wheezy”，这些问题已在版本 1.7~dfsg-3+deb7u3 中修复。建议您升级 batik 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

发现 Batik 未能正确处理某些 XML。攻击者可能利用此问题暴露敏感信息。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Man Yue Mo、Lars Krapf 和 Pierre Ernst 发现，用于处理 SVG 图像的工具包 Batik 未正确验证其输入。这使得攻击者能够造成拒绝服务、挂载跨站脚本攻击或访问服务器上的受限文件。

远程主机受到 GLSA-202401-11 中所述漏洞的影响（Apache Batik：多个漏洞）

  - 在 1.x 至 1.10 的 Apache Batik 中，对“AbstractDocument”的子类执行反序列化时，该类使用 inputStream 中的字符串作为类名称，然后该名称被用于调用类的无参数构造函数。已通过在反序列化中调用 newInstance 之前检查类类型进行修复。(CVE-2018-8013)

  - Apache Batik 容易受到由 xlink: href 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。在版本 1.16 中，恶意 SVG 可能会默认触发加载外部资源，从而导致资源消耗，甚至在某些情况下造成信息泄露。建议用户升级到 1.17 或更高版本。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。恶意 SVG 可以探测用户配置文件/数据，并将其作为参数直接发送到 URL。(CVE-2022-44730)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
120948	Oracle Business Intelligence Publisher 多个漏洞（2018 年 10 月 CPU）	Nessus	Misc.	2019/1/3	2022/4/11	critical
136091	Oracle WebCenter Sites 多个漏洞（2019 年 7 月 CPU）	Nessus	Windows	2020/4/29	2024/3/14	critical
110161	Debian DLA-1385-1：batik 安全更新	Nessus	Debian Local Security Checks	2018/5/29	2021/1/11	critical
110225	Ubuntu 14.04 LTS：Batik 漏洞 (USN-3661-1)	Nessus	Ubuntu Local Security Checks	2018/5/30	2023/10/20	critical
110316	Debian DSA-4215-1：batik - 安全更新	Nessus	Debian Local Security Checks	2018/6/5	2018/11/13	critical
187730	GLSA-202401-11：Apache Batik：多个漏洞	Nessus	Gentoo Local Security Checks	2024/1/9	2024/1/9	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical