远程 Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS 主机上安装的一个程序包受到 USN-6117-1 公告中提及的多个漏洞影响。

  - Apache Batik 容易受到由 xlink: href 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4243 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4243-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包batik 版本1.12-4+deb11u3 CVE ID CVE-2020-11987 CVE-2022-38398 CVE-2022-38648 CVE-2022-40146 Debian 缺陷9848291020589

    Batik SVG toolkit for Java 中已修复多种服务器端请求伪造情况。

    对于 Debian 11 Bullseye这些问题已在 1.12-4+deb11u3 版本中修复。

    建议您升级 batik 程序包。

    有关 batik 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/batik

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 batik 版本低于 1.7-10.10。因此，它受到 ALAS-2023-1695 公告中提及的多个漏洞影响。

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Database Server 版本受到 2021 年 7 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Database Server 的 Advanced Networking Option 组件中存在漏洞。支持的版本中受影响的是 12.1.0.2 和 19c。难以利用的漏洞允许未经身份验证的攻击者通过 Oracle Net 进行网络访问，从而破坏 Advanced Networking Option。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Advanced Networking Option 中，但攻击也可能会严重影响其他产品。成功利用此漏洞进行攻击可导致接管 Advanced Networking Option。(CVE-2021-2351)

  - Oracle Database Server 的 Oracle Text 组件中存在漏洞。支持的版本中受影响的是 12.1.0.2 和 19c。可轻松利用的漏洞允许具有“创建任何程序”、“改变任何表”权限的高权限攻击者通过 Oracle Net 进行网络访问，从而破坏 Oracle Text。
    成功利用此漏洞进行攻击可导致接管 Oracle Text。(CVE-2021-2328)

  - Oracle Database Server 的 Oracle XML DB 组件中存在漏洞。支持的版本中受影响的是 12.1.0.2 和 19c。可轻松利用的漏洞允许具有“创建任何程序”、“创建公共同义词”权限的高权限攻击者通过 Oracle Net 进行网络访问，从而破坏 Oracle XML DB。若成功攻击此漏洞，可造成攻击者接管 Oracle XML DB。
    (CVE-2021-2329)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 batik 版本低于 1.8-0.12.svn1230816。因此，它受到 ALAS2-2023-1966 公告中提及的多个漏洞影响。

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle WebLogic Server 版本缺少 2022 年 7 月关键补丁更新 (CPU) 中的安全补丁。因此，该应用程序受到多个漏洞的影响，其中包括：

  - Oracle Fusion Middleware 的 Oracle WebLogic Server  产品中的漏洞（组件：Third Party Tools、Samples (Spring Framework)）。支持的版本中受影响的是 12.2.1.3.0、12.2.1.4.0 和  14.1.1.0.0。可轻易遭到利用的漏洞允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。(CVE-2022-22965)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server  产品中的漏洞（组件：Centralized Third Party Jars (OWASP Enterprise Security API)）。支持的版本中受影响的是 12.2.1.3.0、12.2.1.4.0 和  14.1.1.0.0。可轻易遭到利用的漏洞允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。(CVE-2022-23457)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server  产品中的漏洞（组件：Centralized Third Party Jars (Apache Maven)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。
    可轻易遭到利用的漏洞允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或 Oracle WebLogic Server 的所有可访问数据，并且未经授权即可访问关键数据或完整访问 Oracle WebLogic Server 的所有可访问数据。(CVE-2021-26291)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202401-11 中所述漏洞的影响（Apache Batik：多个漏洞）

  - 在 1.x 至 1.10 的 Apache Batik 中，对“AbstractDocument”的子类执行反序列化时，该类使用 inputStream 中的字符串作为类名称，然后该名称被用于调用类的无参数构造函数。已通过在反序列化中调用 newInstance 之前检查类类型进行修复。(CVE-2018-8013)

  - Apache Batik 容易受到由 xlink: href 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。在版本 1.16 中，恶意 SVG 可能会默认触发加载外部资源，从而导致资源消耗，甚至在某些情况下造成信息泄露。建议用户升级到 1.17 或更高版本。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。恶意 SVG 可以探测用户配置文件/数据，并将其作为参数直接发送到 URL。(CVE-2022-44730)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 10 主机上安装的程序包受到 dla-3619 公告中提及的多个漏洞影响。

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。在版本 1.16 中，恶意 SVG 可能会默认触发加载外部资源，从而导致资源消耗，甚至在某些情况下造成信息泄露。建议用户升级到 1.17 或更高版本。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。恶意 SVG 可以探测用户配置文件/数据，并将其作为参数直接发送到 URL。(CVE-2022-44730)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的所有受支持的 GoldenGate 版本受到 2021 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle GoldenGate 中存在漏洞（组件：安装 (Dell BSAFE Crypto-J)）。支持的版本中受影响的是低于 19.1.0.0.0.210420 的版本。可轻松利用的漏洞允许未经身份验证的攻击者通过 Oracle Net 进行网络访问，从而破坏 Oracle GoldenGate。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致在未经授权的情况下访问关键数据，或完整访问所有 Oracle GoldenGate 可访问数据。(CVE-2019-3740)

  - Oracle GoldenGate 中存在深度安全问题（组件：安装 (jQuery)）。无法在产品环境中利用此漏洞。(CVE-2020-11023)   
  - Oracle GoldenGate 中存在深度安全问题（组件：常规 (Apache Batik)）。无法在产品环境中利用此漏洞。(CVE-2020-11987)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
176489	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS / 22.04 LTS：Apache Batik 漏洞 (USN-6117-1)	Nessus	Ubuntu Local Security Checks	2023/5/30	2024/8/28	high
242417	Debian dla-4243libbatik-java - 安全更新	Nessus	Debian Local Security Checks	2025/7/21	2025/7/22	high
172184	Amazon Linux AMI：batik (ALAS-2023-1695)	Nessus	Amazon Linux Local Security Checks	2023/3/7	2024/12/11	high
152026	Oracle Database Server 多个漏洞（2021 年 7 月 CPU）	Nessus	Databases	2021/7/23	2023/12/6	critical
172170	Amazon Linux 2：batik (ALAS-2023-1966)	Nessus	Amazon Linux Local Security Checks	2023/3/7	2024/12/11	high
163298	Oracle WebLogic Server（2022 年 7 月 CPU）	Nessus	Misc.	2022/7/20	2024/1/4	critical
187730	GLSA-202401-11：Apache Batik：多个漏洞	Nessus	Gentoo Local Security Checks	2024/1/9	2024/1/9	critical
222974	Linux Distros 未修补的漏洞: CVE-2020-11987	Nessus	Misc.	2025/3/4	2025/8/18	high
183091	Debian DLA-3619-1：batik - LTS 安全更新	Nessus	Debian Local Security Checks	2023/10/14	2025/1/22	high
154342	Oracle GoldenGate（2021 年 10 月 CPU）	Nessus	Misc.	2021/10/22	2025/1/24	high

检测

插件搜索

high

high

high

critical

high

critical

critical

high

high

high