Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - TAR 解析过程中 Apache Commons Compress 中的不当输入验证、不受控制的资源消耗漏洞。此问题影响 Apache Commons Compress：版本为 1.22 之前的 1.24.0。建议用户升级到修复了此问题的版本 1.24.0。第三方可通过操控文件修改时间标头来创建畸形 TAR 文件，使用 Apache Commons Compress 解析时，将通过消耗 CPU 造成拒绝服务问题。在 Apache Commons Compress 的版本 1.22 中，添加了支持，以便以更高的精度实现文件修改时间（问题 # COMPRESS-612 [1]）。载有此数据的 PAX 扩展标头的格式由以句点分隔的两个数字组成 [2]，表示秒和亚秒精度（例如 1647221103.5998539）。受影响的字段为 atime、ctime、mtime 和 LIBARCHIVE.creationtime。解析标头值之前不执行任何输入验证。对这些数字的解析会使用 JDK 中的 BigDecimal [3] 类，其中在对大量数字执行运算时存在一个众所周知的算法复杂性问题，从而造成拒绝服务（请参阅问题 # JDK-6560193 [4]）。第三方可通过将极长分数（300,000 位）的数字或指数表示法的数字（如 9e9999999）放在文件修改时间标头内，来操纵 TAR 文件中的文件时间标头，解析这些文件时标头将花费数小时而不是数秒，从而通过耗尽 CPU 资源导致拒绝服务。此问题类似于 CVE-2012-2098 [5]。 [1]： https://issues.apache.org/jira/browse/COMPRESS-612 [2]：
    https://pubs.opengroup.org/onlinepubs/9699919799/utilities/pax.html#tag_20_92_13_05 [3]：
    https://docs.oracle.com/javase/8/docs/api/java/math/BigDecimal.html [4]：
    https://bugs.openjdk.org/browse/JDK-6560193 [5]： https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2098 只有使用 CompressorStreamFactory 类（具有文件类型的自动检测功能）、TarArchiveInputStream 和 TarFile 类来解析 TAR 文件的应用程序才受影响。由于此代码是在 v1.22 中引入的，因此只有该版本 及更高版本会受到影响。 (CVE-2023-42503)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Oracle WebLogic Server 版本缺少 2024 年 1 月关键补丁更新 (CPU) 中的安全补丁。因此，该应用程序受到多个漏洞的影响，其中包括：

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：集中式第三方 Jars (NekoHTML)）。可轻易遭到利用的漏洞允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。
    (CVE-2023-49093)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：Core）。可轻易遭到利用的漏洞允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。虽然该漏洞存在于 Oracle WebLogic Server 中，但攻击也会对附加产品造成巨大影响（范围更改）。如果攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Oracle WebLogic Server 可访问数据。(CVE-2024-20927)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：Core）。可轻松利用的漏洞允许未经身份验证的攻击者通过 T3、IIOP 进行网络访问，从而破坏 Oracle WebLogic Server。此漏洞的成功攻击能导致关键数据的未授权访问或所有 Oracle WebLogic Server 可访问数据的完全访问。(CVE-2024-20931)

  请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机上安装的 Oracle Database Server 版本受到 2024 年 4 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 RDBMS (Python) 组件中的漏洞。支持的版本中受影响的是 21.3-21.13。利用此漏洞的难度较小，具有“经过身份验证的用户”特权的低权限攻击者可以通过 Oracle Net 进行网络访问，从而破坏 RDBMS (Python)。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 RDBMS (Python) 部分拒绝服务（部分 DOS）。(CVE-2023-36632) 

  - Oracle Database Server 的 Grid Infrastructure (Apache Mina SSHD) 组件中的漏洞。支持的版本中受影响的是 21.3-21.13。利用此漏洞的难度较大，未经身份验证的攻击者可通过 SSH 进行网络访问，从而破坏 Grid Infrastructure (Apache Mina SSHD)。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Grid Infrastructure (Apache Mina SSHD) 可访问的数据。(CVE-2023-48795)

  - Oracle Database Server 的 Oracle SQLcl (Apache Mina SSHD) 组件中的漏洞。支持的版本中受影响的是 19.3-19.22 和 21.3-21.13。利用此漏洞的难度较大，未经身份验证的攻击者可通过 SSH 进行网络访问，从而破坏 Oracle SQLcl (Apache Mina SSHD)。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Oracle SQLcl (Apache Mina SSHD) 可访问的数据。(CVE-2023-48795)	

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2024 年 1 月关键补丁更新 (CPU) 中的安全补丁。因此，该应用程序受到多个漏洞影响：

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (Bouncy Castle Java Library)）。可轻松利用的漏洞允许未经身份验证的攻击者通过 LDAP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功利用此漏洞进行攻击可导致对 Oracle WebCenter Portal 可访问数据子集进行未经授权的读取访问。(CVE-2023-33201)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (Apache Solr)）。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Oracle WebCenter Portal 挂起或频繁出现崩溃（完整 DOS）。(CVE-2021-33813)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (Apache Commons Compress)）。可轻松利用的漏洞允许未经授权的攻击者登录 Oracle WebCenter Portal 执行的基础结构，从而破坏 Oracle WebCenter Portal。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Oracle WebCenter Portal 挂起或频繁出现崩溃（完整 DOS）。(CVE-2023-42503)

请注意，Nessus 并不试图利用此问题，而只依赖于应用程序自我报告的版本号。

远程主机上安装的 Oracle Essbase 版本缺少 2024 年 1 月关键补丁更新 (CPU) 中的安全补丁。因此，该应用程序会受到以下漏洞的影响：

  - Oracle Essbase 中的漏洞（组件：Essbase Web 平台 (OpenSSL)）。可轻松利用的漏洞允许未经身份验证的攻击者通过 TLS 访问网络，从而破坏 Oracle Essbase。若攻击成功，攻击者在未经授权的情况下可造成 Oracle Essbase 挂起或频繁崩溃（完全 DOS）。(CVE-2022-3602)

  - Oracle Essbase 中的漏洞（组件：Essbase Web 平台 (curl)）。可轻松利用的漏洞允许未经身份验证的攻击者通过 SOCKS5 访问网络，从而破坏 Oracle Essbase。成功利用此漏洞进行攻击可导致接管 Oracle Essbase。(CVE-2023-38545)

  - Oracle Essbase 中的漏洞（组件：Essbase Web 平台 (Apache Commons Compress)）。可轻松利用的漏洞允许未经授权的攻击者登录 Oracle Essbase 执行的基础结构，从而破坏 Oracle Essbase。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致攻击者在未经授权的情况下造成 Oracle Essbase 挂起或频繁重复崩溃（完整 DOS）。(CVE-2023-42503) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖于应用程序自我报告的版本号进行判断。

远程主机上安装的 Primavera P6 Enterprise Project Portfolio Management 版本受到 2024 年 1 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web (Google Guava)）。支持的版本中受影响的是 19.12.0-19.12.22、20.12.0-20.12.20、21.12.0-21.12.17 和 22.12.0-22.12.10。利用此漏洞的难度较小，低权限攻击者可登录 Primavera P6 Enterprise Project Portfolio Management 执行的基础结构，从而破坏 Primavera P6 Enterprise Project Portfolio Management。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Primavera P6 Enterprise Project Portfolio Management 可访问数据的访问权限，以及未经授权访问关键数据或完全访问所有可访问的 Primavera P6 Enterprise Project Portfolio Management 数据。(CVE-2023-2976)

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web (Apache Commons Compress)）。支持的版本中受影响的是 19.12.0-19.12.22、20.12.0-20.12.20、21.12.0-21.12.17 和 22.12.0-22.12.10。利用此漏洞的难度较小，低权限攻击者可登录 Primavera P6 Enterprise Project Portfolio Management 执行的基础结构，从而破坏 Primavera P6 Enterprise Project Portfolio Management。除攻击者以外的他人进行交互是实现成功攻击的必要条件。若成功攻击此漏洞，攻击者可在未经授权的情况下造成 Primavera P6 Enterprise Project Portfolio Management 挂起或频繁崩溃（完全 DOS）。(CVE-2023-42503)

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web (JSON-java)）。支持的版本中受影响的是 19.12.0-19.12.22、20.12.0-20.12.20、21.12.0-21.12.17 和 22.12.0-22.12.10。利用此漏洞的难度较小，未经身份验证的攻击者可通过 HTTP 进行网络访问，破坏 Primavera P6 Enterprise Project Portfolio Management。若成功攻击此漏洞，攻击者可在未经授权的情况下造成 Primavera P6 Enterprise Project Portfolio Management 挂起或频繁崩溃（完全 DOS）。(CVE-2023-5072)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Primavera Unifier 版本受到 2024 年 1 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：平台 (Google Guava)）。支持的版本中受影响的是 19.12.0-19.12.16、20.12.0-20.12.16、21.12.0-21.12.17 和 22.12.0-22.12.11。利用此漏洞的难度较小，低权限攻击者可登录 Primavera Unifier 执行的基础结构，从而破坏 Primavera Unifier。
    成功攻击此漏洞可导致在未经授权的情况下访问关键数据，或完全访问 Primavera Unifier 所有可访问数据，以及在未经授权的情况下更新、插入或删除某些 Primavera Unifier 可访问数据的访问权限。(CVE-2023-2976)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：平台 (Apache Commons Compress)）。支持的版本中受影响的是 19.12.0-19.12.16、20.12.0-20.12.16、21.12.0-21.12.17 和 22.12.0-22.12.11。利用此漏洞的难度较小，未经身份验证的攻击者可登录 Primavera Unifier 执行的基础结构，从而危害 Primavera Unifier。
    除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致在未经授权的情况下造成 Primavera Unifier 部分拒绝服务（部分 DOS）。(CVE-2023-42503)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：文档管理器 (Apache ZooKeeper)）。支持的版本中受影响的是 19.12.0-19.12.16、20.12.0-20.12.16、21.12.0-21.12.17 和 22.12.0-22.12.11。利用此漏洞的难度较小，未经身份验证的攻击者可通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下读取访问 Primavera Unifier 的可访问数据子集。(CVE-2023-44981)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
227307	Linux Distros 未修补的漏洞: CVE-2023-42503	Nessus	Misc.	2025/3/5	2025/8/31	medium
189176	Oracle WebLogic Server（2024 年 1 月 CPU）	Nessus	Misc.	2024/1/18	2024/1/22	critical
193497	Oracle Database Server（2024 年 4 月 CPU）	Nessus	Databases	2024/4/18	2024/5/2	critical
189118	Oracle WebCenter Portal 多个漏洞（2024 年 1 月 CPU）	Nessus	Misc.	2024/1/17	2024/1/19	medium
189117	Oracle Essbase 多个漏洞（2024 年 1 月 CPU）	Nessus	Misc.	2024/1/17	2024/1/19	critical
189184	Oracle Primavera P6 Enterprise Project Portfolio Management（2024 年 1 月 CPU）	Nessus	CGI abuses	2024/1/18	2024/10/23	high
189185	Oracle Primavera Unifier（2024 年 1 月 CPU）	Nessus	CGI abuses	2024/1/18	2024/10/23	critical

检测

插件搜索

medium

critical

critical

medium

critical

high

critical