The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3079 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3079-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                      Markus Koschany     August 22, 2022                               https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : jetty9     Version        : 9.4.16-0+deb10u2     CVE ID         : CVE-2022-2047 CVE-2022-2048

    Two security vulnerabilities were discovered in Jetty, a Java servlet engine     and webserver.

    CVE-2022-2047

        In Eclipse Jetty the parsing of the authority segment of an http scheme         URI, the Jetty HttpURI class improperly detects an invalid input as a         hostname. This can lead to failures in a Proxy scenario.

    CVE-2022-2048

        In Eclipse Jetty HTTP/2 server implementation, when encountering an invalid         HTTP/2 request, the error handling has a bug that can wind up not properly         cleaning up the active connections and associated resources. This can lead         to a Denial of Service scenario where there are no enough resources left to         process good requests.


    For Debian 10 buster, these problems have been fixed in version     9.4.16-0+deb10u2.

    We recommend that you upgrade your jetty9 packages.

    For the detailed security status of jetty9 please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/jetty9

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-5198 advisory.

    Two security vulnerabilities were discovered in Jetty, a Java servlet engine and webserver. CVE-2022-2047     In Eclipse Jetty the parsing of the authority segment of an http scheme URI, the Jetty HttpURI class     improperly detects an invalid input as a hostname. This can lead to failures in a Proxy scenario.
    CVE-2022-2048 In Eclipse Jetty HTTP/2 server implementation, when encountering an invalid HTTP/2 request,     the error handling has a bug that can wind up not properly cleaning up the active connections and     associated resources. This can lead to a Denial of Service scenario where there are no enough resources     left to process good requests. For the stable distribution (bullseye), these problems have been fixed in     version 9.4.39-3+deb11u1. We recommend that you upgrade your jetty9 packages. For the detailed security     status of jetty9 please refer to its security tracker page at: https://security-     tracker.debian.org/tracker/jetty9

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Debian 11 主機上安裝的多個套件受到 dsa-5198 公告中提及的多個弱點影響。

  - 在 Eclipse Jetty 9.4.0 至 9.4.46 版、10.0.0 至 10.0.9 版和 11.0.0 至 11.0.9 版中，剖析 http 配置 URI 的授權單位區段時，Jetty HttpURI 類別會將無效輸入錯誤偵測為主機名稱。這在 Proxy 情況下可導致失敗。(CVE-2022-2047)

  - 在 Eclipse Jetty HTTP/2 伺服器實作中，當遇到無效的 HTTP/2 要求時，錯誤處理中的一個錯誤可最終導致程式無法正確清理活動中的連線和相關資源。這可造成拒絕服務情形，系統沒有足夠的資源來處理正常要求。(CVE-2022-2048)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3079 公告中提及的多個弱點影響。

  - 在 Eclipse Jetty 9.4.0 至 9.4.46 版、10.0.0 至 10.0.9 版和 11.0.0 至 11.0.9 版中，剖析 http 配置 URI 的授權單位區段時，Jetty HttpURI 類別會將無效輸入錯誤偵測為主機名稱。這在 Proxy 情況下可導致失敗。(CVE-2022-2047)

  - 在 Eclipse Jetty HTTP/2 伺服器實作中，當遇到無效的 HTTP/2 要求時，錯誤處理中的一個錯誤可最終導致程式無法正確清理活動中的連線和相關資源。這可造成拒絕服務情形，系統沒有足夠的資源來處理正常要求。(CVE-2022-2048)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上安装的多个程序包受到 dsa-5198 公告中提及的多个漏洞影响。

  - 在 Eclipse Jetty 9.4.0 至 9.4.46 版、10.0.0 至 10.0.9 版以及 11.0.0 至 11.0.9 版中，解析 http 方案 URI 的颁发机构段时，Jetty HttpURI 类会将无效输入错误检测为主机名。这在代理方案中可导致失败。(CVE-2022-2047)

  - 在 Eclipse Jetty HTTP/2 服务器实现中，当遇到无效的 HTTP/2 请求时，错误处理中的一个缺陷可最终导致程序无法正确清理活动连接和相关资源。这可导致拒绝服务情况，系统没有足够的资源来处理正常请求。(CVE-2022-2048)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的多个程序包受到 dla-3079 公告中提及的多个漏洞影响。

  - 在 Eclipse Jetty 9.4.0 至 9.4.46 版、10.0.0 至 10.0.9 版以及 11.0.0 至 11.0.9 版中，解析 http 方案 URI 的颁发机构段时，Jetty HttpURI 类会将无效输入错误检测为主机名。这在代理方案中可导致失败。(CVE-2022-2047)

  - 在 Eclipse Jetty HTTP/2 服务器实现中，当遇到无效的 HTTP/2 请求时，错误处理中的一个缺陷可最终导致程序无法正确清理活动连接和相关资源。这可导致拒绝服务情况，系统没有足够的资源来处理正常请求。(CVE-2022-2048)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 11 ホストには、dsa-5198 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Eclipse Jetty バージョン 9.4.0から 9.4.46まで、および 10.0.0から 10.0.9まで、および 11.0.0から 11.0.9までのバージョンでは、http スキーム URI の認証セグメントの解析で、Jetty HttpURI クラスが無効な入力をホスト名として不適切に検出します。これにより、プロキシシナリオでエラーが発生する可能性があります。(CVE-2022-2047)

  - Eclipse Jetty HTTP/2 サーバーの実装で、無効な HTTP/2 リクエストが発生した場合、エラー処理にバグがあり、アクティブな接続と関連するリソースを適切にクリーンアップしない可能性があります。これにより、サービス拒否のシナリオが発生し、適切なリクエストを処理するのに十分なリソースが残らない可能性があります。(CVE-2022-2048)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3079 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Eclipse Jetty バージョン 9.4.0から 9.4.46まで、および 10.0.0から 10.0.9まで、および 11.0.0から 11.0.9までのバージョンでは、http スキーム URI の認証セグメントの解析で、Jetty HttpURI クラスが無効な入力をホスト名として不適切に検出します。これにより、プロキシシナリオでエラーが発生する可能性があります。(CVE-2022-2047)

  - Eclipse Jetty HTTP/2 サーバーの実装で、無効な HTTP/2 リクエストが発生した場合、エラー処理にバグがあり、アクティブな接続と関連するリソースを適切にクリーンアップしない可能性があります。これにより、サービス拒否のシナリオが発生し、適切なリクエストを処理するのに十分なリソースが残らない可能性があります。(CVE-2022-2048)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Oracle データベースサーバーの 19c および 21c バージョンは、2022 年 10 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database Server の Oracle Database - 機械学習 (Numpy) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは 21c です。容易に悪用可能な脆弱性により、権限の低い攻撃者が、Oracle Net を介したネットワークアクセスにより Create Session 権限を取得し、Oracle Database - 機械学習 (Numpy) を侵害する可能性があります。(CVE-2021-41495)  

  - Oracle Database Server の Spatial および Graph (jackson-databind) コンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、19c および 21c です。容易に悪用できる脆弱性により、認証ユーザー権限を持つ権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Spatial および Graph (jackson-databind) を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく Spatial および Graph (jackson-databind) をハングさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりする可能性があります。
    (CVE-2020-36518)

  - Oracle Database Server の Oracle Notification Server (PCRE2) コンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、19c および 21c です。容易に悪用可能な脆弱性により、HTTP 経由でネットワークにアクセスできるサブスクライバー権限を持つ権限の低い攻撃者が、Oracle Notification Server (PCRE2) を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Notification Server (PCRE2) をハングさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりする可能性があります。
    注: この脆弱性は Windows システムにのみ適用されます。(CVE-2022-1587)

  - Oracle Database Server の Oracle Database - Advanced Queuing コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは 19c です。容易に悪用可能な脆弱性により、DBA ユーザー権限を持つ権限の高い攻撃者が、Oracle Net を介したネットワークアクセスにより、Oracle Database - Advanced Queuing を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle Database - Advanced Queuing の乗っ取りが発生する可能性があります。
    (CVE-2022-21596)

  - Oracle Database Server の Oracle Database - Sharding コンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、19c および 21c です。容易に悪用可能な脆弱性により、ローカルログオン権限を持つ権限の高い攻撃者が、ローカルログオンを介したネットワークアクセスにより、Oracle Database - Sharding を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle Database - Sharding の乗っ取りが発生する可能性があります。
    (CVE-2022-21603)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Eclipse Jetty バージョン 9.4.0から 9.4.46まで、および 10.0.0から 10.0.9まで、および 11.0.0から 11.0.9までのバージョンでは、http スキーム URI の認証セグメントの解析で、Jetty HttpURI クラスが無効な入力をホスト名として不適切に検出します。これにより、プロキシシナリオでエラーが発生する可能性があります。(CVE-2022-2047)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

遠端主機上安裝的 Oracle Database Server 19c 和 21c 版本受到 2022 年 10 月 CPU 公告中提及的多個弱點影響。

  - Oracle Database Server 的 Oracle Database - Machine Learning (Numpy) 元件中存在的弱點。受影響的支援版本是 21c 版。利用此弱點的難度較低，擁有「建立工作階段」權限且可透過 Oracle Net 存取網路的低權限攻擊者可藉此入侵 Oracle Database - Machine Learning (Numpy)。(CVE-2021-41495)  

  - Oracle Database Server 的 Spatial and Graph (jackson-databind) 元件中存在的弱點。受影響的支援版本是 19c 和 21c。攻擊此弱點的難度較小，擁有「經驗證的使用者」權限並且經由 HTTP 存取網路的低權限攻擊者可以藉此入侵 Spatial and Graph (jackson-databind)。若攻擊成功，攻擊者未經授權即可造成 Spatial and Graph (jackson-databind) 懸置或經常重複性當機 (完全 DOS)。
    (CVE-2020-36518)

  - Oracle Database Server 的 Oracle Notification Server (PCRE2) 元件中存在的弱點。受影響的支援版本是 19c 和 21c。攻擊此弱點的難度較小，擁有「訂閱者」權限並且經由 HTTP 存取網路的低權限攻擊者可以藉此入侵 Oracle Notification Server (PCRE2)。若攻擊成功，攻擊者未經授權即可造成 Oracle Notification Server (PCRE2) 懸置或經常重複性當機 (完全 DOS)。
    注意：此弱點僅適用於 Windows 系統。(CVE-2022-1587)

  - Oracle Database Server 的 Oracle Database - Advanced Queuing 元件中存在的弱點。受影響的支援版本是 19c 版。攻擊此弱點的難度較小，擁有 DBA 使用者權限並且經由 Oracle Net 存取網路的高權限攻擊者可藉此入侵 Oracle Database - Advanced Queuing。
    若攻擊成功，攻擊者可以接管 Oracle Database - Advanced Queuing。
    (CVE-2022-21596)

  - Oracle Database Server 的 Oracle Database - Sharding 元件中存在的弱點。受影響的支援版本是 19c 和 21c。攻擊此弱點的難度較小，擁有本機登入權限並且經由本機登入存取網路的高權限攻擊者可藉此入侵 Oracle Database - Sharding。
    若攻擊成功，攻擊者可以接管 Oracle Database - Sharding。
    (CVE-2022-21603)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Eclipse Jetty 9.4.0 至 9.4.46 版、10.0.0 至 10.0.9 版和 11.0.0 至 11.0.9 版中，剖析 http 配置 URI 的授權單位區段時，Jetty HttpURI 類別會將無效輸入錯誤偵測為主機名稱。這在 Proxy 情況下可導致失敗。(CVE-2022-2047)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程主机上安装的 Oracle Database Server 19c 和 21c 版本受到 2022 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Database Server 的 Oracle Database -Machine Learning (Numpy) 组件中存在漏洞。受到影响的受支持版本是 21c。可轻松利用的漏洞允许具有创建会话权限和网络访问权限的低权限攻击者通过 Oracle Net 破坏 Oracle Database - Machine Learning (Numpy)。(CVE-2021-41495)  

  - Oracle Database Server 的 Spatial 和 Graph (jackson-databind) 组件中存在漏洞。受影响的支持版本是 19c 和 21c。可轻松利用的漏洞允许具有“经身份验证用户”权限的低权限攻击者通过 HTTP 进行网络访问，从而破坏 Spatial 和 Graph (jackson-databind)。成功攻击此漏洞可导致在未经授权的情况下使 Spatial 和 Graph (jackson-databind) 挂起或频繁出现崩溃（完整 DOS）。
    (CVE-2020-36518)

  - Oracle Database Server 的 Oracle Notification Server (PCRE2) 组件中存在漏洞。受影响的支持版本是 19c 和 21c。对于容易攻击的漏洞，拥有“订阅者”权限的低权限攻击者可以通过 HTTP 进行网络访问，从而破坏 Oracle Notification Server (PCRE2)。成功攻击此漏洞可导致在未经授权的情况下使 Oracle Notification Server (PCRE2) 挂起或频繁崩溃（完全 DOS）。
    注意：此漏洞仅影响 Windows 系统。(CVE-2022-1587)

  - Oracle Database Server 的 Oracle Database - Advanced Queuing 组件中存在漏洞。受影响的支持版本是 19c。可轻松利用的漏洞允许拥有“DBA 用户权限”的高权限攻击者通过 Oracle Net 进行网络访问，从而破坏 Oracle Database - Advanced Queuing。
    成功利用此漏洞进行攻击可导致接管 Oracle Database - Advanced Queuing。
    (CVE-2022-21596)

  - Oracle Database Server 的 Oracle Database - Sharding 组件中存在漏洞。受影响的支持版本是 19c 和 21c。可轻松利用的漏洞允许拥有“本地登录权限”的高权限攻击者通过本地登录进行网络访问，从而破坏 Oracle Database - Sharding。
    成功利用此漏洞进行攻击可导致接管 Oracle Database - Sharding。
    (CVE-2022-21603)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Eclipse Jetty 9.4.0 至 9.4.46 版、10.0.0 至 10.0.9 版以及 11.0.0 至 11.0.9 版中，解析 http 方案 URI 的颁发机构段时，Jetty HttpURI 类会将无效输入错误检测为主机名。这在代理方案中可导致失败。(CVE-2022-2047)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The 19c and 21c versions of Oracle Database Server installed on the remote host are affected by multiple vulnerabilities as referenced in the October 2022 CPU advisory.

  - Vulnerability in the Oracle Database - Machine Learning (Numpy) component of Oracle Database Server. The     supported version that is affected is 21c. Easily exploitable vulnerability allows low privileged attacker     having Create Session privilege with network access via Oracle Net to compromise Oracle Database - Machine     Learning (Numpy). (CVE-2021-41495)  

  - Vulnerability in the Spatial and Graph (jackson-databind) component of Oracle Database Server. Supported     versions that are affected are 19c and 21c. Easily exploitable vulnerability allows low privileged attacker     having Authenticated User privilege with network access via HTTP to compromise Spatial and     Graph (jackson-databind). Successful attacks of this vulnerability can result in unauthorized ability to     cause a hang or frequently repeatable crash (complete DOS) of Spatial and Graph (jackson-databind).
    (CVE-2020-36518)

  - Vulnerability in the Oracle Notification Server (PCRE2) component of Oracle Database Server. Supported     versions that are affected are 19c and 21c. Easily exploitable vulnerability allows low privileged     attacker having Subscriber privilege with network access via HTTP to compromise Oracle Notification     Server (PCRE2). Successful attacks of this vulnerability can result in unauthorized ability to cause     a hang or frequently repeatable crash (complete DOS) of Oracle Notification Server (PCRE2).
    Note: This vulnerability applies to Windows systems only. (CVE-2022-1587)

  - Vulnerability in the Oracle Database - Advanced Queuing component of Oracle Database Server. The supported     version that is affected is 19c. Easily exploitable vulnerability allows high privileged attacker having     DBA user privilege with network access via Oracle Net to compromise Oracle Database - Advanced Queuing.
    Successful attacks of this vulnerability can result in takeover of Oracle Database - Advanced Queuing.
    (CVE-2022-21596)

  - Vulnerability in the Oracle Database - Sharding component of Oracle Database Server. Supported versions     that are affected are 19c and 21c. Easily exploitable vulnerability allows high privileged attacker having     Local Logon privilege with network access via Local Logon to compromise Oracle Database - Sharding.
    Successful attacks of this vulnerability can result in takeover of Oracle Database - Sharding.
    (CVE-2022-21603)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Eclipse Jetty versions 9.4.0 thru 9.4.46, and 10.0.0 thru 10.0.9, and 11.0.0 thru 11.0.9 versions, the     parsing of the authority segment of an http scheme URI, the Jetty HttpURI class improperly detects an     invalid input as a hostname. This can lead to failures in a Proxy scenario. (CVE-2022-2047)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
164323	Debian dla-3079 : jetty9 - security update	Nessus	Debian Local Security Checks	2022/8/22	2025/1/22	low
163753	Debian DSA-5198-1 : jetty9 - security update	Nessus	Debian Local Security Checks	2022/8/3	2025/1/24	low
163753	Debian DSA-5198-1：jetty9 - 安全性更新	Nessus	Debian Local Security Checks	2022/8/3	2025/1/24	low
164323	Debian DLA-3079-1：jetty9 - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/8/22	2025/1/22	low
163753	Debian DSA-5198-1：jetty9 - 安全更新	Nessus	Debian Local Security Checks	2022/8/3	2025/1/24	low
164323	Debian DLA-3079-1：jetty9 - LTS 安全更新	Nessus	Debian Local Security Checks	2022/8/22	2025/1/22	low
163753	Debian DSA-5198-1: jetty9 - セキュリティ更新	Nessus	Debian Local Security Checks	2022/8/3	2025/1/24	low
164323	Debian DLA-3079-1: jetty9 - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/8/22	2025/1/22	low
166370	Oracle Database Server (2022 年 10 月 CPU)	Nessus	Databases	2022/10/21	2023/10/24	critical
253083	Linux Distros のパッチ未適用の脆弱性: CVE-2022-2047	Nessus	Misc.	2025/8/21	2025/8/21	low
166370	Oracle Database Server (2022 年 10 月 CPU)	Nessus	Databases	2022/10/21	2023/10/24	critical
253083	Linux Distros 未修補的弱點：CVE-2022-2047	Nessus	Misc.	2025/8/21	2025/8/21	low
166370	Oracle Database Server（2022 年 10 月 CPU）	Nessus	Databases	2022/10/21	2023/10/24	critical
253083	Linux Distros 未修补的漏洞：CVE-2022-2047	Nessus	Misc.	2025/8/21	2025/8/21	low
166370	Oracle Database Server (Oct 2022 CPU)	Nessus	Databases	2022/10/21	2023/10/24	critical
253083	Linux Distros Unpatched Vulnerability : CVE-2022-2047	Nessus	Misc.	2025/8/21	2025/8/21	low

检测

插件搜索

low

low

low

low

low

low

low

low

critical

low

critical

low

critical

low

critical

low