XMLBeans 使用的 XML 解析器未设置保护用户免受恶意 XML 输入影响的属性。漏洞包括可能导致拒绝服务的 XML 实体扩展攻击。此更新可为 XML 解析器实施合理的默认设置，以防止此类攻击。

对于 Debian 9 stretch，已在版本 2.6.0+dfsg-1+deb9u1 中修复此问题。

我们建议您升级 xmlbeans 程序包。

如需了解 xmlbeans 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/xmlbeans

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition 12.2.1.4 版本受到 2025 年 1 月 CPU 公告中提及的以下多个漏洞的影响：

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Analytics Server (Apache Commons FileUpload)）。支持的版本中受影响的是 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 挂起或频繁出现崩溃（完整 DOS）。(CVE-2023-24998)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Platform Security (OpenSSL)）。支持的版本中受影响的是 7.0.0.0.0、7.6.0.0.0 和 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 TLS 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下访问关键数据，或完全访问 Oracle Business Intelligence Enterprise Edition 所有可访问数据，以及在未经授权的情况下导致 Oracle Business Intelligence Enterprise Edition 发生系统挂起或频繁出现崩溃（完全 DOS）。(CVE-2024-5535)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Analytics Server、Pipeline Test Failures、Installation (Spring Framework)）。支持的版本中受影响的是 7.0.0.0.0、7.6.0.0.0 和 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 部分拒绝服务（部分 DOS）(CVE-2024-38809)。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition 12.2.1.4 版本受到 2024 年 7 月 CPU 公告中提及的以下多个漏洞的影响：

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：BI FNDN (Apache XMLBeans)）。支持的版本中受影响的是 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下访问关键数据，或完全访问 Oracle Business Intelligence Enterprise Edition 所有可访问数据，以及在未经授权的情况下导致 Oracle Business Intelligence Enterprise Edition 发生系统挂起或频繁出现崩溃（完全 DOS）。(CVE-2021-23926)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Storage Service Integration (Nimbus JOSE+JWT)）。支持的版本中受影响的是 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 挂起或频繁出现崩溃（完整 DOS）。(CVE-2023-52428)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Analytics Web Answers）。支持的版本中受影响的是 7.0.0.0.0、7.6.0.0.0 和 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的低权限攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Business Intelligence Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。若成功利用此漏洞，攻击者未经授权即可对 Oracle Business Intelligence Enterprise Edition 可访问的部分数据执行更新、插入或删除操作，并且未经授权即可读取 Oracle Business Intelligence Enterprise Edition 可访问数据中的部分数据。(CVE-2024-21139)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OBIEE) 版本受到 2023 年 4 月 CPU 公告中提及的多个漏洞影响。

  - 在 org.codehaus.jackson: jackson-mapper-asl: 1.9.x 库中发现一个缺陷。类似 CVE-2016-3720 的 XML 外部实体扣动也会影响 codehaus jackson-mapper-asl 库，但涉及的类别不同。(CVE-2019-10172)

  - 在 Legion of the Bouncy Castle BC Java 1.65 和 1.66 版中发现一个问题。OpenBSDBCrypt.checkPassword 实用工具方法在检查密码时会比较错误的数据，从而允许不正确的密码表明它们与之前经过哈希处理的不同密码匹配。
    (CVE-2020-28052)

  XMLBeans 2.6.0 以下版本使用的 XML 解析器未设置保护用户免受恶意 XML 输入影响所需的属性。漏洞包括可造成 XML 实体扩展攻击的问题。影响 XMLBeans v2.6.0 及之前版本。(CVE-2021-23926)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程主机上安装的 IBM Engineering Requirements Management DOORS（以前称为 IBM Rational DOORS）版本是 9.7.2.x 之前的 9.7.2.8。因此，它受到 7124058 公告中提及的多个漏洞影响。

  - 1.9.1 之前的 Apache Shiro，在某些 servlet 容器上可能会错误配置 RegexRequestMatcher 以绕过它。在正则表达式中使用带有“.”的 RegExPatternMatcher 的应用程序可能容易受到授权绕过的影响。(CVE-2022-32532)

  - Java OpenWire 协议编组器容易受到远程代码执行的攻击。利用该漏洞，可以通过网络访问 Java 型 OpenWire 代理或客户端的远程攻击者可以通过操纵 OpenWire 协议中的序列化类类型来运行任意 shell 命令，从而导致客户端或代理（分别）实例化类路径上的任何类。建议用户升级到修复了此问题的代理和客户端（版本 5.15.16、5.16.7、5.17.6、5.18.3）。
    (CVE-2023-46604)

  - 2.13.9 之前的 Scala 2.13.x 在其 JAR 文件中存在 Java 反序列化链。它本身无法被利用。只有与应用程序内的 Java 对象反序列化结合使用时才会存在风险。在此类情况下，它会允许攻击者通过小工具链擦除任意文件的内容、建立网络连接或可能运行任意代码（特别是 Function0 函数）。(CVE-2022-36944)

  - IBM Engineering Requirements Management DOORS 9.7.2.7 是一个跨站请求漏洞，该漏洞允许攻击者执行从网站信任用户传输的恶意和未经授权的操作。IBM X-Force ID：251216。(CVE-2023-28949)

  4.14 之前的 CKEditor 4.0 的 HTML 数据处理器中存在跨站脚本 (XSS) 漏洞，该漏洞会允许远程攻击者通过构建的受保护注释 （带有 cke_protected 语法）注入任意 web 脚本。(CVE-2020-9281)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
151111	Debian DLA-2693-1：xmlbeans 安全更新	Nessus	Debian Local Security Checks	2021/6/28	2025/1/24	critical
214593	Oracle Business Intelligence Enterprise Edition（2025 年 1 月 CPU）	Nessus	Misc.	2025/1/24	2025/1/27	critical
202908	Oracle Business Intelligence Enterprise Edition（2024 年 7 月 CPU）	Nessus	Misc.	2024/7/22	2024/7/23	critical
174742	Oracle Business Intelligence Enterprise Edition（2023 年 4 月 CPU）	Nessus	Misc.	2023/4/25	2023/7/21	critical
191754	IBM Engineering Requirements Management DOORS 9.7.2.x < 9.7.2.8 多种漏洞 (7124058)	Nessus	Windows	2024/3/8	2024/3/12	critical

检测

插件搜索

critical

critical

critical

critical

critical