远程主机上安装的 WebCenter Sites 版本 12.2.1.3.0 和 12.2.1.4.0 受到 2022 年 10 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Fusion Middleware 的 Oracle WebCenter Sites 产品中存在漏洞（组件：集中式第三方 Jars (dojo)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者（可通过 HTTP 进行网络访问）破坏 Oracle WebCenter Sites。成功攻击此漏洞可导致接管 Oracle WebCenter Sites.。CVE-2021-23450)

  - Oracle Fusion Middleware 的 Oracle WebCenter Sites 产品中存在漏洞（组件：WebCenter Sites (XStream)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者（可通过 HTTP 进行网络访问）破坏 Oracle WebCenter Sites。成功攻击该漏洞可导致在未经授权的情况下造成 Oracle WebCenter Sites 挂起或频繁反复崩溃（完全 DOS）（CVE-2021-43859）。

  - Oracle Fusion Middleware 的 Oracle WebCenter Sites 产品中存在漏洞（组件：WebCenter Sites (CKEditor)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者（可通过 HTTP 进行网络访问）破坏 Oracle WebCenter Sites。成功攻击该漏洞可导致在未经授权的情况下造成 Oracle WebCenter Sites 挂起或频繁反复崩溃（完全 DOS）（CVE-2022-24729）。

  - CVE-2022-32532	Oracle Fusion Middleware 的 Oracle WebCenter Sites 产品中存在漏洞（组件：WebCenter Sites (Apache Shiro)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者（可通过 HTTP 进行网络访问）破坏 Oracle WebCenter Sites。成功攻击此漏洞可导致接管 Oracle WebCenter Sites.。CVE-2022-32532)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Web 服务器上运行的 Jenkins Enterprise 或 Jenkins Operations Center 版本为低于 2.277.43.0.6 的 2.277.x、低于 2.303.30.0.5 的 2.303.x 或低于 2.319.3.3 的 2.x。因此，该应用程序受到多个漏洞的影响：

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的开源 java 库。在 1.4.19 之前的版本中，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。XStream 1.4.19 会监控并累积将各元素添加到集合要花费的时间，并在超过设定的阈值时抛出异常。建议用户尽快升级。
    无法升级的用户可设置 NO_REFERENCE 模式以防止发生递归。如果无法升级，请参阅 GHSA-rmr5-cpv2-vgjf 以获取有关变通方案的更多详细信息。(CVE-2021-43859)

  - Jenkins 2.333 和更早版本、 LTS 2.319.2 和更早版本定义了自定义 XStream 转换器，这些转换器尚未更新以应用针对 CVE-2021-43859 漏洞的保护并允许不受限制地漏洞资源。(CVE-2022-0538)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2022: 1420 公告中提及的多个漏洞的影响。

  - xstream：注入高度递归的集合或映射可能导致 DoS (CVE-2021-43859)

  - workflow-cps：通过特制的 SCM 内容执行操作系统命令 (CVE-2022-25173)

  - workflow-cps-global-lib：通过特制的 SCM 内容执行操作系统命令 (CVE-2022-25174)

  - workflow-multibranch：通过特制的 SCM 内容执行操作系统命令 (CVE-2022-25175)

  - workflow-cps：与管道相关的插件遵循符号链接或不受路径名称限制 (CVE-2022-25176)

  - workflow-cps-global-lib：与管道相关的插件遵循符号链接或不受路径名称限制（CVE-2022-25177、CVE-2022-25178）

  - workflow-multibranch：与管道相关的插件遵循符号链接或不受路径名称限制 (CVE-2022-25179)

  - workflow-cps：重播版本中包含来自原始版本的密码参数 (CVE-2022-25180)

  - workflow-cps-global-lib：沙盒绕过漏洞（CVE-2022-25181、CVE-2022-25182、CVE-2022-25183）

  - pipeline-build-step：公开密码参数默认值 (CVE-2022-25184)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的开源 java 库。在 1.4.19 之前的版本中，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。XStream 1.4.19 会监控并累积将各元素添加到集合要花费的时间，并在超过设定的阈值时抛出异常。建议用户尽快升级。
    无法升级的用户可设置 NO_REFERENCE 模式以防止发生递归。如果无法升级，请参阅 GHSA-rmr5-cpv2-vgjf 以获取有关变通方案的更多详细信息。(CVE-2021-43859)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.319.3，或低于 Jenkins weekly 2.334。因此，该应用程序受到多个漏洞的影响：

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的开源 java 库。在 1.4.19 之前的版本中，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。XStream 1.4.19 会监控并累积将各元素添加到集合要花费的时间，并在超过设定的阈值时抛出异常。建议用户尽快升级。
    无法升级的用户可设置 NO_REFERENCE 模式以防止发生递归。如果无法升级，请参阅 GHSA-rmr5-cpv2-vgjf 以获取有关变通方案的更多详细信息。(CVE-2021-43859)

  - Jenkins 2.333 和更早版本、 LTS 2.319.2 和更早版本定义了自定义 XStream 转换器，这些转换器尚未更新以应用针对 CVE-2021-43859 漏洞的保护并允许不受限制地漏洞资源。(CVE-2022-0538)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2022 年 10 月关键补丁更新 (CPU) 中的安全补丁。因此，该应用程序受到多个漏洞的影响：

  - Oracle Communications Applications 的 Oracle Communications Convergence 产品中存在漏洞（组件：框架 (dojo)）。支持的版本中受影响的是 3.0.3.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle Communications Convergence。成功利用此漏洞进行攻击可导致接管 Oracle Communications Convergence。(CVE-2021-23450)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：安全框架 (jackson-databind)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Oracle WebCenter Portal 挂起或频繁出现崩溃（完整 DOS）(CVE-2020-36518)。

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：安全框架 (Apache Santuario XML Security For Java)）。支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功攻击此漏洞可导致在未经授权的情况下访问关键数据，或完整访问所有可供访问的 Oracle WebCenter Portal 数据。(CVE-2021-40690)

请注意，Nessus 并不试图利用此问题，而只依赖于应用程序自我报告的版本号。

远程 Debian 9 主机上安装的一个程序包受到 dla-2924 公告中提及的一个漏洞影响。

  - XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的开源 java 库。在 1.4.19 之前的版本中，远程攻击者可以仅通过操纵处理后的输入流来根据 CPU 类型或此类负载的并行执行，在目标系统上分配 100％ CPU 时间，从而导致拒绝服务。XStream 1.4.19 会监控并累积将各元素添加到集合要花费的时间，并在超过设定的阈值时抛出异常。建议用户尽快升级。
    无法升级的用户可设置 NO_REFERENCE 模式以防止发生递归。如果无法升级，请参阅 GHSA-rmr5-cpv2-vgjf 以获取有关变通方案的更多详细信息。(CVE-2021-43859)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程 Debian 11 主机上安装的多个程序包受到 dla-4001 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4001-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 12 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libxstream-java 版本：1.4.15-3+deb11u3 CVE ID：CVE-2021-43859 CVE-2024-47072 Debian 缺陷：1087274

    XStream 是一个可将对象序列化为 XML，再将 XML 序列化为对象的简易 java 库。修复了以下两个漏洞：

    CVE-2021-43859:

      注入高度递归的集合或映射时，XStream 可导致拒绝服务 (DoS)

    CVE-2024-47072

      由于操纵的二进制输入流会导致堆栈溢出，XStream 易受拒绝服务攻击

    对于 Debian 11 bullseye，已在 1.4.15-3+deb11u3 版本中修复此问题。

    建议您升级 libxstream-java 程序包。

    如需了解 libxstream-java 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libxstream-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
166377	Oracle WebCenter Sites（2022 年 10 月 CPU）	Nessus	Windows	2022/10/21	2023/10/9	critical
158672	Jenkins Enterprise and Operations Center 2.277.x < 2.277.43.0.6 / 2.303.x < 2.303.30.0.5 / 2.319.3.3 多个漏洞（CloudBees 安全公告 2022-02-09）	Nessus	CGI abuses	2022/3/7	2024/6/4	high
160255	RHEL 7：OpenShift 容器平台 3.11.685 (RHSA-2022: 1420)	Nessus	Red Hat Local Security Checks	2022/4/27	2024/11/7	high
253568	Linux Distros 未修补的漏洞：CVE-2021-43859	Nessus	Misc.	2025/8/22	2025/10/14	high
157860	Jenkins LTS < 2.319.3 / Jenkins weekly < 2.334 多个漏洞	Nessus	CGI abuses	2022/2/9	2024/6/4	high
166335	Oracle WebCenter Portal 多个漏洞（2022 年 10 月 CPU）	Nessus	Misc.	2022/10/20	2023/10/24	critical
158084	Debian DLA-2924-1：libxstream-java - LTS 安全更新	Nessus	Debian Local Security Checks	2022/2/16	2025/1/24	high
213317	Debian dla-4001：libxstream-java - 安全更新	Nessus	Debian Local Security Checks	2024/12/21	2024/12/21	high

检测

插件搜索

critical

high

high

high

high

critical

high

high