Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jsoup 是一个 Java HTML 解析器，专为 HTML 编辑、清理、抓取和跨站脚本 (XSS) 安全而构建。 jsoup 可能未正确审查包含“javascript:”的 HTML 表达式，进而在用户点击该链接时允许 XSS 攻击。如果启用了非默认“SafeList.preserveRelativeLinks”选项，则不会清理包含使用控制字符构建的“javascript:”URL 的 HTML。如果用于发布此 HTML 的站点未设置内容安全策略，则可能导致 XSS 攻击。已在 jsoup 1.15.3 中修复此问题 。用户应升级到此版本。
    此外，由于可能保留了未经审查的输入，应使用更新后的版本再次清理旧内容。要修复此问题而不立即升级，请执行以下操作：- 禁用 `SafeList.preserveRelativeLinks`，这会将输入 URL 重写为绝对 URL - 确保已定义适当的 [内容安全策略](https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP)。（无论是否升级，都应采用此做法，将之作为深度防御最佳实践。）(CVE-2022-36033)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，该应用程序受到 ALAS2023-2023-315 公告中提及的漏洞的影响。

  - jsoup 是 Java HTML 解析器，专为 HTML 编辑、清理、抓取和跨站脚本 (XSS) 安全而构建。 jsoup 可能会错误地清理 HTML，包括“javascript: ”URL 表达式的 HTML，这可能会在有读者随后单击该链接时招致 XSS 攻击。如果启用了非默认的 `SafeList.preserveLinks` 选项，系统将不会审查包含使用控制字符构建的 `javascript: ` URL 的 HTML。如果用于发布此 HTML 的站点未设置内容安全策略，则可能导致 XSS 攻击。已在 jsoup 1.15.3 中修复此问题 。用户应升级到此版本。
    此外，由于可能保留了未经审查的输入，应使用更新后的版本再次清理旧内容。若要修复此问题而不立即升级，请执行以下操作：- 禁用“SafeList.preserveRelativeLinks”，这会将输入 URL 重写为绝对 URL - 确保定义适当的[内容安全策略] (https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP)。（无论是否升级，都应采用此做法，将之作为深度防御最佳实践。）(CVE-2022-36033)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2024:8075 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 7 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.4.19 版本可替换 Red Hat JBoss Enterprise Application Platform 7.4.18，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.4.19 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * braces：未能限制可处理的字符数量 [eap-7.4.z] (CVE-2024-4068)

    * jose4j：通过特别构建的 JWE [eap-7.4.z] 造成拒绝服务 (CVE-2023-51775)

    * wildfly-domain-http：wildfly：无 EAP 管理接口超时可导致拒绝服务 (DoS) [eap-7.4.z] (CVE-2024-4029)

    * xalan：Xalan-J 中存在整数截断问题 (JAXP、8285407) [eap-7.4.z] (CVE-2022-34169)

    * org.jsoup/jsoup：如果启用 SafeList.preserveRelativeLinks，jsoup 清理器可能会错误地审查构建的 XSS 尝试 [eap-7.4.z] (CVE-2022-36033)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程主机上安装的 jsoup 版本低于 1.6.1-10。因此，该应用程序受到 ALAS2-2024-2466 公告中提及的漏洞的影响。

  - jsoup 是 Java HTML 解析器，专为 HTML 编辑、清理、抓取和跨站脚本 (XSS) 安全而构建。 jsoup 可能会错误地清理 HTML，包括“javascript: ”URL 表达式的 HTML，这可能会在有读者随后单击该链接时招致 XSS 攻击。如果启用了非默认的 `SafeList.preserveLinks` 选项，系统将不会审查包含使用控制字符构建的 `javascript: ` URL 的 HTML。如果用于发布此 HTML 的站点未设置内容安全策略，则可能导致 XSS 攻击。已在 jsoup 1.15.3 中修复此问题 。用户应升级到此版本。
    此外，由于可能保留了未经审查的输入，应使用更新后的版本再次清理旧内容。若要修复此问题而不立即升级，请执行以下操作：- 禁用“SafeList.preserveRelativeLinks”，这会将输入 URL 重写为绝对 URL - 确保定义适当的[内容安全策略] (https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP)。（无论是否升级，都应采用此做法，将之作为深度防御最佳实践。）(CVE-2022-36033)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Process Management Suite 版本受到 2023 年 4 月 CPU 公告中提及的多个漏洞影响。特别地：

  - Apache MINA SSHD <= 2.9.1 中的 org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider 类使用 Java 反序列化加载经序列化的 java.security.PrivateKey。类是指使用 Apache MINA SSHD 的实现者可选择用来加载 SSH 服务器主机密钥的多个实现之一。
    (CVE-2022-45047)

  - 在 2.14.0-rc1 之前的 FasterXML jackson-databind 中，当启用 UNWRAP_SINGLE_VALUE_ARRAYS 功能时，由于缺少用以避免深层封装程序数组嵌套的对原始值反序列化程序的检查，可能会发生资源耗尽。 2.13.4.1 和 2.12.17.1 中的其他补丁版本 (CVE-2022-42003)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

  - jsoup 是 Java HTML 解析器，专为构建用于 HTML 编辑、清理、抓取和跨站脚本 (XSS) 安全。
    jsoup 可能未正确审查包含 `javascript: ` URL 表达式的 HTML，这可能会在有读者随后单击该链接时招致 XSS 攻击。如果启用了非默认的 `SafeList.preserveLinks` 选项，系统将不会审查包含使用控制字符构建的 `javascript: ` URL 的 HTML。如果用于发布此 HTML 的站点未设置内容安全策略，则可能导致 XSS 攻击。已在 jsoup 1.15.3 中修复此问题 。用户应升级到此版本。此外，由于可能保留了未经审查的输入，应使用更新后的版本再次清理旧内容。(CVE-2022-36033)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2023 年 4 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响：

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (Netty)）。支持的版本中受影响的是 12.2.1.4.0。Netty 项目是一个事件驱动的异步网络应用程序框架。在低于 4.1.86.Final 的版本中，由于无限递归，在解析畸形构建的消息时可引发堆栈溢出错误。此问题已在 4.1.86.Final 版本中得到修补。除使用自定义 HaProxyMessageDecoder 外，没有其他变通方案。 (CVE-2022-41881)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (XStream)）。支持的版本中受影响的是 12.2.1.4.0。使用 Xstream 序列化 XML 数据的用户可能容易受到拒绝服务攻击 (DOS)。如果对用户提供的输入运行解析器，攻击者可能会提供通过堆栈溢位造成解析器崩溃的内容。此影响可能支持拒绝服务攻击。(CVE-2022-40151)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：安全框架 (jackson-databind)）。支持的版本中受影响的是 12.2.1.4.0。在 2.14.0-rc1 之前的 FasterXML jackson-databind 中，当启用 UNWRAP_SINGLE_VALUE_ARRAYS 功能时，由于缺少用以避免深层封装程序数组嵌套的对原始值反序列化程序的检查，可能会发生资源耗尽。 2.13.4.1 和 2.12.17.1 中的其他补丁版本 (CVE-2022-42003)

请注意，Nessus 并不试图利用此问题，而只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:8076 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 7 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.4.19 版本可替换 Red Hat JBoss Enterprise Application Platform 7.4.18，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.4.19 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * braces：未能限制可处理的字符数量 [eap-7.4.z] (CVE-2024-4068)

    * jose4j：通过特别构建的 JWE [eap-7.4.z] 造成拒绝服务 (CVE-2023-51775)

    * wildfly-domain-http：wildfly：无 EAP 管理接口超时可导致拒绝服务 (DoS) [eap-7.4.z] (CVE-2024-4029)

    * xalan：Xalan-J 中存在整数截断问题 (JAXP、8285407) [eap-7.4.z] (CVE-2022-34169)

    * org.jsoup/jsoup：如果启用 SafeList.preserveRelativeLinks，jsoup 清理器可能会错误地审查构建的 XSS 尝试 [eap-7.4.z] (CVE-2022-36033)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024:8077 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 7 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.4.19 版本可替换 Red Hat JBoss Enterprise Application Platform 7.4.18，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.4.19 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * braces：未能限制可处理的字符数量 [eap-7.4.z] (CVE-2024-4068)

    * jose4j：通过特别构建的 JWE [eap-7.4.z] 造成拒绝服务 (CVE-2023-51775)

    * wildfly-domain-http：wildfly：无 EAP 管理接口超时可导致拒绝服务 (DoS) [eap-7.4.z] (CVE-2024-4029)

    * xalan：Xalan-J 中存在整数截断问题 (JAXP、8285407) [eap-7.4.z] (CVE-2022-34169)

    * org.jsoup/jsoup：如果启用 SafeList.preserveRelativeLinks，jsoup 清理器可能会错误地审查构建的 XSS 尝试 [eap-7.4.z] (CVE-2022-36033)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程主机上安装的 Primavera Unifier 版本受到 2023 年 4 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：Document Management (FreeType)）。支持的版本中受影响的为 18.8.0-18.8.18、19.12.0-19.12.16、20.12.0-20.12.16、21.12.0-21.12.14 和 22.12.0-22.12.3。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致接管 Primavera Unifier。(CVE-2022-27404)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：User Interface (jsoup)）。支持的版本中受影响的为 18.8.0-18.8.18、19.12.0-19.12.16、20.12.0-20.12.16、21.12.0-21.12.14 和 22.12.0-22.12.3。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Primavera Unifier 中，但攻击也可能会严重影响其他产品（范围变化）。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Primavera Unifier 可访问数据的访问权限，以及对 Primavera Unifier 可访问数据子集进行未经授权的读取访问。(CVE-2022-36033)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：User Interface (JSZip)）。支持的版本中受影响的为 18.8.0-18.8.18、19.12.0-19.12.16、20.12.0-20.12.16、21.12.0-21.12.14 和 22.12.0-22.12.3。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问，从而危害 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下造成 Primavera Unifier 部分拒绝服务（部分 DOS）。(CVE-2021-23413)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
224901	Linux Distros 未修补的漏洞: CVE-2022-36033	Nessus	Misc.	2025/3/5	2025/3/5	medium
180115	Amazon Linux 2023：jsoup、jsoup-javadoc (ALAS2023-2023-315)	Nessus	Amazon Linux Local Security Checks	2023/8/24	2024/12/11	medium
209009	RHEL 7：Red Hat JBoss Enterprise Application Platform 7.4.19 安全更新（重要）(RHSA-2024:8075)	Nessus	Red Hat Local Security Checks	2024/10/14	2024/10/14	high
190691	Amazon Linux 2：jsoup (ALAS-2024-2466)	Nessus	Amazon Linux Local Security Checks	2024/2/19	2024/12/11	medium
174472	Oracle Business Process Management Suite（2023 年 4 月 CPU）	Nessus	Misc.	2023/4/19	2023/4/21	critical
174540	Oracle WebCenter Portal 多个漏洞（2023 年 4 月 CPU）	Nessus	Misc.	2023/4/20	2023/4/21	medium
209008	RHEL 8：Red Hat JBoss Enterprise Application Platform 7.4.19 安全更新（重要）(RHSA-2024:8076)	Nessus	Red Hat Local Security Checks	2024/10/14	2024/10/14	high
209012	RHEL 9：Red Hat JBoss Enterprise Application Platform 7.4.19 安全更新（重要）(RHSA-2024:8077)	Nessus	Red Hat Local Security Checks	2024/10/14	2024/10/14	high
174471	Oracle Primavera Unifier（2023 年 4 月 CPU）	Nessus	CGI abuses	2023/4/19	2024/10/23	critical

检测

插件搜索

medium

medium

high

medium

critical

medium

high

high

critical