遠端 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS 主機上安裝的多個套件受到 USN-8108-1 公告中提及的多個弱點影響。

    據發現將 Bouncy Castle 插入 LDAP 搜尋篩選器時Bouncy Castle 未清理使用者輸入。攻擊者可能會利用此問題發動 LDAP 插入攻擊。此問題只影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2023-33201)

    據發現Bouncy Castle 未正確處理 ECCurve 演算法中的特製 F2m 參數。攻擊者可能會利用此問題造成 Bouncy Castle 使用過量資源進而導致拒絕服務。此問題只影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-29857)

    據發現在 RSA 交握期間處理例外狀況時Bouncy Castle 會洩漏計時資訊。攻擊者可能會利用此問題取得敏感資訊。此問題只影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-30171)

    據發現在沒有明確主機名稱的情況下啟用 SSL 通訊端時Bouncy Castle 未正確處理端點識別。攻擊者可能利用此問題發動 DNS 毒害攻擊。此問題只會影響 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。
    (CVE-2024-34447)

    Bing Shi 發現 Bouncy Castle 未正確處理資源記憶體配置。攻擊者可能會利用此問題造成 Bouncy Castle 使用過量資源進而導致拒絕服務。
    這個問題只會影響 Ubuntu 24.04 LTS。(CVE-2025-8916)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到公告 USN-8108-1 中提及的多个漏洞影响。

    发现 Bouncy Castle 在将用户输入插入 LDAP 搜索过滤器时未能审查用户输入。攻击者可能利用此问题执行 LDAP 注入攻击。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2023-33201)

    发现 Bouncy Castle 未能正确处理 ECCurve 算法中特制的 F2m 参数。攻击者可能利用此问题造成 Bouncy Castle 使用过多资源从而导致拒绝服务。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-29857)

    发现 Bouncy Castle 在处理 RSA 握手期间的异常时泄露定时信息。攻击者可能利用此问题获取敏感信息。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-30171)

    发现 Bouncy Castle 未正确处理在无明确主机名的情况下启用了 SSL 套接字的端点识别。攻击者可能利用此问题执行 DNS 中毒攻击。此问题只影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。
    (CVE-2024-34447)

    Bing Shi 发现 Bouncy Castle 未能正确处理资源内存分配。攻击者可能利用此问题造成 Bouncy Castle 使用过多资源从而导致拒绝服务。
    此问题仅影响 Ubuntu 24.04 LTS。(CVE-2025-8916)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，會受到 ALAS2023-2024-636 公告中所提及的多個弱點影響。

    在 Bouncy Castle Java Cryptography API … 之前的版本中發現一個問題。

    注意：https://github.com/bcgit/bc-java/issues/1635NOTE:
    https://www.bouncycastle.org/latest_releases.htmlDEBIANBUG: [1070655] (CVE-2024-29857)

    在 Bouncy Castle Java Cryptography API BC 1.78 之前的版本中發現一個問題。在 BCJSSE 中啟用端點識別，並在沒有明確主機名稱的情況下建立 SSL 通訊端時 (如 HttpsURLConnection 所發生的情況)，在某些情況下，可針對 DNS 解析的 IP 位址執行主機名稱驗證，進而增加 DNS 毒害的可能性。(CVE-2024-34447)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它受到 ALAS2023-2024-636 公告中提及的多个漏洞影响。

    在之前的 Bouncy Castle Java Cryptography API 版本中发现问题…

    注意：https://github.com/bcgit/bc-java/issues/1635NOTE:
    https://www.bouncycastle.org/latest_releases.htmlDEBIANBUG: [1070655] (CVE-2024-29857)

    在 BC 1.78 之前的 Bouncy Castle Java Cryptography API 版本中发现问题。如果在 BCJSSE 中启用端点识别，且创建的 SSL 套接字没有明确的主机名（正如 HttpsURLConnection 发生的情况），在某些情况下会针对 DNS 解析的 IP 地址执行主机名验证，从而可能造成 DNS 中毒。(CVE-2024-34447)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 BC TLS Java 1.0.19 随附于 BC Java 1.78、BC Java (LTS) 2.73.6] 和低于 BC FIPS TLS Java 1.0.19的 Bouncy Castle Crypto Package For Java 中发现一个问题。如果在 BCJSSE 中启用端点识别，且创建的 SSL 套接字没有明确的主机名（正如 HttpsURLConnection 发生的情况），在某些情况下会针对 DNS 解析的 IP 地址执行主机名验证，从而可能造成 DNS 中毒。(CVE-2024-34447)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 BC TLS Java 1.0.19 之前版本 (BC Java 1.78、BC Java (LTS) 2.73.6隨附) 和 BC FIPS TLS Java 1.0.19之前版本的 Bouncy Castle Crypto Package For Java 中發現一個問題。在 BCJSSE 中啟用端點識別，並在沒有明確主機名稱的情況下建立 SSL 通訊端時 (如 HttpsURLConnection 所發生的情況)，在某些情況下，可針對 DNS 解析的 IP 位址執行主機名稱驗證，進而增加 DNS 毒害的可能性。(CVE-2024-34447)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 WebLogic Server 版本 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 皆會受到 2025 年 1 月 CPU 公告中提及的多個弱點影響。

  - 攻擊此弱點的難度較小，經由 T3、IIOP 存取網路的未經驗證攻擊者可以藉此入侵 Oracle WebLogic Server。若成功攻擊此弱點，則可能導致接管 Oracle WebLogic Server。(CVE-2024-23635)

  - 攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Oracle WebLogic Server。雖然弱點是在 Oracle WebLogic Server 中，但攻擊可能會顯著影響其他的產品 (範圍變更)。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle WebLogic Server 懸置或經常重複性當機 (完全 DOS)。(CVE-2023-7272)

  - 攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Oracle WebLogic Server。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle WebLogic Server 懸置或經常重複性當機 (完全 DOS)。(CVE-2024-47554)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 WebLogic Server 12.2.1.4.0、14.1.1.0.0 和 14.1.2.0.0 版本受到 2025 年 1 月 CPU 公告中提及的多个漏洞影响。

  此漏洞很容易被利用，允许未经身份验证的攻击者通过 T3、IIOP 进行网络访问，从而破坏 Oracle WebLogic Server。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。(CVE-2024-23635)

  此漏洞很容易被利用，允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 破坏 Oracle WebLogic Server。虽然该漏洞存在于 Oracle WebLogic Server 中，但攻击也会对附加产品造成巨大影响（范围更改）。成功攻击此漏洞可导致在未经授权的情况下使 Oracle WebLogic Server 挂起或频繁出现崩溃（完整 DOS）。(CVE-2023-7272)

  此漏洞很容易被利用，允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 破坏 Oracle WebLogic Server。成功攻击此漏洞可导致在未经授权的情况下使 Oracle WebLogic Server 挂起或频繁出现崩溃（完整 DOS）。(CVE-2024-47554)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - BC TLS Java 1.0.19 より前の Java 向け Bouncy Castle Crypto Package 、BC 1.78JavaLTS 2.73.6、BC FIPS TLS 1.0.19Javaより前の で出荷。BCJSSE でエンドポイント識別が有効化になっている場合、(HttpsURLConnection で発生するように) 明示的なホスト名なしで SSL ソケットが作成されると、場合によっては、DNS 解決された IP アドレスに対してホスト名の検証が実行され、DNS ポイズニングが発生する可能性があります。(CVE-2024-34447)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 16.04LTS / 18.04LTS / 20.04LTS / 22.04LTS / 24.04LTS ホストには、USN-8108-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Bouncy Castleが、ユーザー入力をLDAP検索フィルターに挿入するとき、サニタイズしないことがわかりました。攻撃者がこの問題を悪用して、LDAPインジェクション攻撃を行う可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、および Ubuntu 22.04 LTS にのみ影響を与えます。(CVE-2023-33201)

    Bouncy CastleがECCurveアルゴリズムで特別に細工されたF2mパラメーターを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、Bouncy Castle に過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、および Ubuntu 24.04 LTS にのみ影響を与えます。(CVE-2024-29857)

    Bouncy Castleが、RSAハンドシェイク中に例外を処理するとき、タイミング情報を漏えいすることがわかりました。攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、および Ubuntu 24.04 LTS にのみ影響を与えます。(CVE-2024-30171)

    Bouncy Castleが、明示的なホスト名なしでSSLソケットを有効化した状態でエンドポイントIDを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、DNSポイズニング攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS のみです。
    (CVE-2024-34447)

    Bing Shi氏は、Bouncy Castleがリソースメモリ割り当てを不適切に処理することを発見しました。攻撃者がこの問題を悪用して、Bouncy Castle に過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。
    この問題の影響を受けるのは、Ubuntu 24.04 LTS のみです。(CVE-2025-8916)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート ホストにインストールされている WebLogic Server のバージョン 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 は、2025 年 1 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 容易に悪用可能な脆弱性があり、認証されていない攻撃者が T3 である IIOP を介してネットワークにアクセスし、Oracle WebLogic サーバーを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogic サーバーの乗っ取りが発生する可能性があります。(CVE-2024-23635)

  - 容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。脆弱性があるのは Oracle WebLogic Server ですが、攻撃により別の製品にも重大な影響を与える可能性があります。(範囲変更) この脆弱性に対する攻撃が成功すると、権限なく Oracle WebLogic Server をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2023-7272)

  - 容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle WebLogic Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく Oracle WebLogic Server をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2024-47554)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2024-636 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ... より前の Bouncy Castle Java Cryptography API で、問題が発見されました。

    注意: https://github.com/bcgit/bc-java/issues/1635NOTE:
    https://www.bouncycastle.org/latest_releases.htmlDEBIANBUG: [1070655] (CVE-2024-29857)

    BC 1.78 より前の Bouncy Castle Java Cryptography API で、問題が発見されました。BCJSSE でエンドポイント識別が有効化になっている場合、(HttpsURLConnection で発生するように) 明示的なホスト名なしで SSL ソケットが作成されると、場合によっては、DNS 解決された IP アドレスに対してホスト名の検証が実行され、DNS ポイズニングが発生する可能性があります。(CVE-2024-34447)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-8108-1 advisory.

    It was discovered that Bouncy Castle did not sanitize user input when inserting it into an LDAP search     filter. An attacker could possibly use this issue to perform an LDAP injection attack. This issue only     affected Ubuntu 16.04 LTS, Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, and Ubuntu 22.04 LTS. (CVE-2023-33201)

    It was discovered that Bouncy Castle incorrectly handled specially crafted F2m parameters in the ECCurve     algorithm. An attacker could possibly use this issue to cause Bouncy Castle to use excessive resources,     leading to a denial of service. This issue only affected Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, Ubuntu 22.04     LTS, and Ubuntu 24.04 LTS. (CVE-2024-29857)

    It was discovered that Bouncy Castle leaked timing information when handling exceptions during an RSA     handshake. An attacker could possibly use this issue to obtain sensitive information. This issue only     affected Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, and Ubuntu 24.04 LTS. (CVE-2024-30171)

    It was discovered that Bouncy Castle incorrectly handled endpoint identification with an SSL socket     enabled without an explicit hostname. An attacker could possibly use this issue to perform a DNS poisoning     attack. This issue only affected Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, and Ubuntu 24.04 LTS.
    (CVE-2024-34447)

    Bing Shi discovered that Bouncy Castle incorrectly handled resource memory allocation. An attacker could     possibly use this issue to cause Bouncy Castle to use excessive resources, leading to a denial of service.
    This issue only affected Ubuntu 24.04 LTS. (CVE-2025-8916)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in the Bouncy Castle Crypto Package For Java before BC TLS Java 1.0.19 (ships with     BC Java 1.78, BC Java (LTS) 2.73.6) and before BC FIPS TLS Java 1.0.19. When endpoint identification is     enabled in the BCJSSE and an SSL socket is created without an explicit hostname (as happens with     HttpsURLConnection), hostname verification could be performed against a DNS-resolved IP address in some     situations, opening up a possibility of DNS poisoning. (CVE-2024-34447)

Note that Nessus relies on the presence of the package as reported by the vendor.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2024-636 advisory.

    An issue was discovered in Bouncy Castle Java Cryptography APIs before ...

    NOTE: https://github.com/bcgit/bc-java/issues/1635NOTE:
    https://www.bouncycastle.org/latest_releases.htmlDEBIANBUG: [1070655] (CVE-2024-29857)

    An issue was discovered in Bouncy Castle Java Cryptography APIs before BC 1.78. When endpoint     identification is enabled in the BCJSSE and an SSL socket is created without an explicit hostname (as     happens with HttpsURLConnection), hostname verification could be performed against a DNS-resolved IP     address in some situations, opening up a possibility of DNS poisoning. (CVE-2024-34447)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The 12.2.1.4.0, 14.1.1.0.0, and 14.1.2.0.0 versions of WebLogic Server installed on the remote host are affected by multiple vulnerabilities as referenced in the January 2025 CPU advisory.

  - Easily exploitable vulnerability allows unauthenticated attacker with network access via T3, IIOP to compromise     Oracle WebLogic Server.  Successful attacks of this vulnerability can result in takeover of Oracle WebLogic     Server. (CVE-2024-23635)

  - Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle     WebLogic Server.  While the vulnerability is in Oracle WebLogic Server, attacks may significantly impact additional     products (scope change). Successful attacks of this vulnerability can result in unauthorized ability to cause a hang     or frequently repeatable crash (complete DOS) of Oracle WebLogic Server. (CVE-2023-7272)

  - Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle     WebLogic Server.  Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or     frequently repeatable crash (complete DOS) of Oracle WebLogic Server. (CVE-2024-47554)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
303028	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSBouncy Castle 弱點 (USN-8108-1)	Nessus	Ubuntu Local Security Checks	2026/3/19	2026/3/19	medium
303028	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSBouncy Castle 漏洞 (USN-8108-1)	Nessus	Ubuntu Local Security Checks	2026/3/19	2026/3/19	medium
200264	Amazon Linux 2023：bouncycastle、bouncycastle-javadoc、bouncycastle-mail (ALAS2023-2024-636)	Nessus	Amazon Linux Local Security Checks	2024/6/10	2025/3/24	high
200264	Amazon Linux 2023：bouncycastle、bouncycastle-javadoc、bouncycastle-mail (ALAS2023-2024-636)	Nessus	Amazon Linux Local Security Checks	2024/6/10	2025/3/24	high
232128	Linux Distros 未修补的漏洞：CVE-2024-34447	Nessus	Misc.	2025/3/6	2026/3/19	high
232128	Linux Distros 未修補的弱點：CVE-2024-34447	Nessus	Misc.	2025/3/6	2026/3/19	high
214580	Oracle WebLogic Server (2025 年 1 月 CPU)	Nessus	Misc.	2025/1/24	2026/1/26	medium
214580	Oracle WebLogic Server（2025 年 1 月 CPU）	Nessus	Misc.	2025/1/24	2026/1/26	medium
232128	Linux Distros のパッチ未適用の脆弱性: CVE-2024-34447	Nessus	Misc.	2025/3/6	2026/3/19	high
303028	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSBouncy Castle の脆弱性USN-8108-1	Nessus	Ubuntu Local Security Checks	2026/3/19	2026/3/19	medium
214580	Oracle WebLogic Server (2025 年 1 月 CPU)	Nessus	Misc.	2025/1/24	2026/1/26	medium
200264	Amazon Linux 2023: bouncycastle、bouncycastle-javadoc、bouncycastle-mail (ALAS2023-2024-636)	Nessus	Amazon Linux Local Security Checks	2024/6/10	2025/3/24	high
303028	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS : Bouncy Castle vulnerabilities (USN-8108-1)	Nessus	Ubuntu Local Security Checks	2026/3/19	2026/3/19	medium
232128	Linux Distros Unpatched Vulnerability : CVE-2024-34447	Nessus	Misc.	2025/3/6	2026/3/19	high
200264	Amazon Linux 2023 : bouncycastle, bouncycastle-javadoc, bouncycastle-mail (ALAS2023-2024-636)	Nessus	Amazon Linux Local Security Checks	2024/6/10	2025/3/24	high
214580	Oracle WebLogic Server (January 2025 CPU)	Nessus	Misc.	2025/1/24	2026/1/26	medium

检测

插件搜索

medium

medium

high

high

high

high

medium

medium

high

medium

medium

high

medium

high

high

medium