Apache Commons FileUpload before 1.3.3 DiskFileItem File Manipulation Remote Code Execution.

Vulnerability in the Oracle GlassFish Server component of Oracle Fusion Middleware (subcomponent: Administration). Supported versions that are affected are 3.0.1 and 3.1.2. Easily exploitable vulnerability allows low privileged attacker with logon to the infrastructure where Oracle GlassFish Server executes to compromise Oracle GlassFish Server. Successful attacks of this vulnerability can result in unauthorized read access to a subset of Oracle GlassFish Server accessible data. CVSS v3.0 Base Score 3.3 (Confidentiality impacts).

Vulnerability in the Oracle GlassFish Server component of Oracle Fusion Middleware (subcomponent: Core). Supported versions that are affected are 2.1.1, 3.0.1 and 3.1.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via SMTP to compromise Oracle GlassFish Server. Successful attacks require human interaction from a person other than the attacker. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle GlassFish Server accessible data. CVSS v3.0 Base Score 4.3 (Integrity impacts).

Vulnerability in the Oracle GlassFish Server component of Oracle Fusion Middleware (subcomponent: Security). Supported versions that are affected are 2.1.1, 3.0.1 and 3.1.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via LDAP to compromise Oracle GlassFish Server. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle GlassFish Server accessible data as well as unauthorized read access to a subset of Oracle GlassFish Server accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Oracle GlassFish Server. CVSS v3.0 Base Score 7.3 (Confidentiality, Integrity and Availability impacts).

Vulnerability in the Oracle GlassFish Server component of Oracle Fusion Middleware (subcomponent: Security). Supported versions that are affected are 2.1.1, 3.0.1 and 3.1.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle GlassFish Server. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle GlassFish Server accessible data as well as unauthorized read access to a subset of Oracle GlassFish Server accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Oracle GlassFish Server. CVSS v3.0 Base Score 7.3 (Confidentiality, Integrity and Availability impacts).

Vulnerability in the Oracle GlassFish Server component of Oracle Fusion Middleware (subcomponent: Security). Supported versions that are affected are 2.1.1, 3.0.1 and 3.1.2. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle GlassFish Server. While the vulnerability is in Oracle GlassFish Server, attacks may significantly impact additional products. Successful attacks of this vulnerability can result in takeover of Oracle GlassFish Server. CVSS v3.0 Base Score 9.0 (Confidentiality, Integrity and Availability impacts).

According to its self-reported version number, the Oracle GlassFish Server running on the remote host is 2.1.1.x prior to 2.1.1.30, 3.0.1.x prior to 3.0.1.15, or 3.1.2.x prior to 3.1.2.16. It is, therefore, affected by multiple vulnerabilities : 

  - An unspecified flaw exists in the Security subcomponent     that allows an unauthenticated, remote attacker to     execute arbitrary code. (CVE-2016-5528)

  - An unspecified flaw exists in the Administration     subcomponent that allows a local attacker attacker to     disclose sensitive information. Note that this     vulnerability does not affect the 2.1.1.x version     branch. (CVE-2017-3239)

  - An unspecified flaw exists in the Core subcomponent that     allows an unauthenticated, remote attacker to perform     unauthorized updates, inserts, or deletion of data over     SMTP. (CVE-2017-3247)

  - An unspecified flaw exists in the Security subcomponent     that allows an unauthenticated, remote attacker to     perform unauthorized updates, inserts, or deletion of     data over LDAP. Additionally, the attacker can     potentially cause a partial denial of service condition.
    (CVE-2017-3249) 

  - An unspecified flaw exists in the Security subcomponent     that allows an unauthenticated, remote attacker to     perform unauthorized updates, inserts, or deletion of     data over HTTP. Additionally, the attacker can     potentially cause a partial denial of service condition.
    (CVE-2017-3250)

自己報告されたバージョン番号によると、リモートホストで実行されているOracle GlassFish Serverは、2.1.1.30より前の2.1.1.x、3.0.1.15より前の3.0.1.x、3.1.2.16より前の3.1.2.xです。したがって、複数の脆弱性による影響を受けます。- セキュリティサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2016-5528）- Administrationサブコンポーネントに詳細不明な欠陥があるため、ローカルの攻撃者が秘密情報を漏えいする可能性があります。バージョン2.1.1.xは、この脆弱性の影響を受けません。（CVE-2017-3239）- コアサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が、許可されていないデータの更新、挿入、削除をSMTPで実行する可能性があります。（CVE-2017-3247）- セキュリティのサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が許可されていないデータの更新、挿入、削除をLDAPで実行する可能性があります。さらに、攻撃者は部分的にサービス拒否状態を引き起こす可能性があります。（CVE-2017-3249）- セキュリティのサブコンポーネントに詳細不明な欠陥があるため、認証されていないリモートの攻撃者が許可されていないデータの実行、挿入、削除をHTTPで実行する可能性があります。さらに、攻撃者は部分的にサービス拒否状態を引き起こす可能性があります。（CVE-2017-3250）

1.3.3DiskFileItemファイル操作のリモートコード実行前のApache Commons FileUpload。

Oracle Fusion MiddlewareのOracle GlassFish Serverコンポーネントの脆弱性（サブコンポーネント: 管理）。サポートされているバージョンで影響を受けるのは、3.0.1および3.1.2です。簡単に悪用可能な脆弱性によって、権限の低い攻撃者が、Oracle GlassFish Serverが実行されているインフラストラクチャにログオンし、Oracle GlassFish Serverを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle GlassFish Serverがアクセスできるサブセットのデータが、権限なしで読み取りアクセスされる可能性があります。CVSS v3.0ベーススコア3.3 （機密性への影響）。

Oracle Fusion MiddlewareのOracle GlassFish Serverコンポーネントの脆弱性（サブコンポーネント: Core）。サポートされているバージョンで影響を受けるのは、2.1.1、3.0.1、3.1.2です。容易に悪用できる脆弱性により、認証されていない攻撃者がSMTPを介してネットワークにアクセスし、Oracle GlassFish Serverを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Oracle GlassFish Serverがアクセスできるいくつかのデータが、権限なしで更新、挿入または削除される可能性があります。CVSS v3.0ベーススコア4.3 （整合性への影響）。

Oracle Fusion MiddlewareのOracle GlassFish Serverコンポーネントの脆弱性（サブコンポーネント: セキュリティ）。サポートされているバージョンで影響を受けるのは、2.1.1、3.0.1、3.1.2です。容易に悪用可能な脆弱性により、認証されていない攻撃者がLDAPを介してネットワークにアクセスし、Oracle GlassFish Serverを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、一部のOracle GlassFish Serverのアクセス可能データに対する権限のない更新アクセス、挿入アクセス、削除アクセス、さらに、Oracle GlassFish Serverのアクセス可能データのサブセットに対する権限のない読み取りアクセスにつながり、権限なくOracle GlassFish Serverの部分的サービス拒否（部分的DOS）を引き起こす可能性があります。CVSS v3.0ベーススコア7.3（機密性、整合性、可用性への影響）。

Oracle Fusion MiddlewareのOracle GlassFish Serverコンポーネントの脆弱性（サブコンポーネント: セキュリティ）。サポートされているバージョンで影響を受けるのは、2.1.1、3.0.1、3.1.2です。容易に悪用可能な脆弱性により、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle GlassFish Serverを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、一部のOracle GlassFish Serverのアクセス可能データに対する権限のない更新アクセス、挿入アクセス、削除アクセス、さらに、Oracle GlassFish Serverのアクセス可能データのサブセットに対する権限のない読み取りアクセスにつながり、権限なくOracle GlassFish Serverの部分的サービス拒否（部分的DOS）を引き起こす可能性があります。CVSS v3.0ベーススコア7.3（機密性、整合性、可用性への影響）。

Oracle Fusion MiddlewareのOracle GlassFish Serverコンポーネントの脆弱性（サブコンポーネント: セキュリティ）。サポートされているバージョンで影響を受けるのは、2.1.1、3.0.1、3.1.2です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle GlassFish Serverを侵害する可能性があります。脆弱性があるのはOracle GlassFish Serverですが、攻撃により別の製品にも重大な影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Oracle GlassFish Serverの乗っ取りが発生する可能性があります。CVSS v3.0ベーススコア9.0（機密性、整合性、可用性への影響）。

根據其自我報告的版本號碼，遠端主機上執行的 Oracle GlassFish Server 版本為比 2.1.1.30 舊的 2.1.1.x、比 3.0.1.15 舊的 3.0.1.x 或比 3.1.2.16 舊的 3.1.2.x。因此，會受到多個弱點影響：- Security 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以執行任意程式碼。(CVE-2016-5528) - Administration 子元件中存在不明缺陷，本機攻擊者可藉以洩漏敏感資訊。請注意，此弱點不會影響 2.1.1.x 版分支。(CVE-2017-3239) - Core 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以透過 SMTP 執行未經授權的資料更新、插入或刪除動作。(CVE-2017-3247) - Security 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以透過 LDAP 執行未經授權的資料更新、插入或刪除動作。此外，攻擊者還可能引發部份拒絕服務情形。(CVE-2017-3249) - Security 子元件中存在不明缺陷，未經驗證的遠端攻擊者可藉以透過 HTTP 執行未經授權的資料更新、插入或刪除動作。此外，攻擊者還可能引發部份拒絕服務情形。(CVE-2017-3250)

根据其自我报告的版本号，远程主机上运行的 Oracle GlassFish Server 版本为低于 2.1.1.30 的 2.1.1.x、低于 3.0.1.15 的 3.0.1.x，或低于 3.1.2.16 的 3.1.2.x。因而会受到多个漏洞的影响：- Security 子组件中存在不明缺陷，允许未经身份验证的远程攻击者执行任意代码。(CVE-2016-5528) - Administration 子组件中存在不明缺陷，允许本地攻击者泄露敏感信息。请注意，此漏洞不影响 2.1.1.x 版本分支。(CVE-2017-3239) - Core 子组件中存在不明缺陷，允许未经身份验证的远程攻击者通过 SMTP 执行未经授权的数据更新、插入或删除。(CVE-2017-3247) - Security 子组件中存在不明缺陷，允许未经身份验证的远程攻击者通过 LDAP 执行未经授权的数据更新、插入或删除。此外，攻击者可能会造成部分拒绝服务情况。(CVE-2017-3249) - Security 子组件中存在不明缺陷，允许未经身份验证的远程攻击者通过 HTTP 执行未经授权的数据更新、插入或删除。此外，攻击者可能会造成部分拒绝服务情况。(CVE-2017-3250)

Oracle GlassFish versions 2.1.1.x prior to 2.1.1.30, 3.0.1.x prior to 3.0.1.15, and 3.1.2.x prior to 3.1.2.16 are affected by the following vulnerabilities :

 - An unspecified flaw exists related to the Security subcomponent.  This may allow a remote attacker to potentially execute arbitrary code.  No further details have been provided by the vendor. (CVE-2016-5528)
 - An unspecified flaw exists related to the Administration subcomponent.  This may allow a local attacker to gain access to potentially sensitive information.  No further details have been provided by the vendor. (CVE-2017-3239)
 - An unspecified flaw exists related to the Core subcomponent.  This may allow a context-dependent attacker to have an impact on integrity.  No further details have been provided by the vendor. (CVE-2017-3247)
 - An unspecified flaw exists related to the Security subcomponent.  This may allow a remote attacker to have an impact on confidentiality, integrity, and availability.  No further details have been provided by the vendor. (CVE-2017-3249)
 - An unspecified flaw exists related to the Security subcomponent.  This may allow a remote attacker to have an impact on confidentiality, integrity, and availability.  No further details have been provided by the vendor. (CVE-2017-3250)

ID	Name	Product	Family	Published	Updated	Severity
119274	FreeBSD : payara -- Multiple vulnerabilities (d70c9e18-f340-11e8-be46-0019dbb15b3f)	Nessus	FreeBSD Local Security Checks	11/29/2018	12/6/2022	critical
96624	Oracle GlassFish Server 2.1.1.x < 2.1.1.30 / 3.0.1.x < 3.0.1.15 / 3.1.2.x < 3.1.2.16 Multiple Vulnerabilities (January 2017 CPU)	Nessus	Web Servers	1/19/2017	11/13/2019	high
96624	Oracle GlassFish Server 2.1.1.x < 2.1.1.30/3.0.1.x < 3.0.1.15/3.1.2.x < 3.1.2.16の複数の脆弱性（2017年1月CPU）	Nessus	Web Servers	1/19/2017	11/13/2019	high
119274	FreeBSD: payara -- 複数の脆弱性（d70c9e18-f340-11e8-be46-0019dbb15b3f）	Nessus	FreeBSD Local Security Checks	11/29/2018	12/6/2022	critical
96624	Oracle GlassFish Server 2.1.1.x < 2.1.1.30 / 3.0.1.x < 3.0.1.15 / 3.1.2.x < 3.1.2.16 多個弱點 (2017 年 1 月 CPU)	Nessus	Web Servers	1/19/2017	11/13/2019	high
96624	Oracle GlassFish Server 2.1.1.x < 2.1.1.30 / 3.0.1.x < 3.0.1.15 / 3.1.2.x < 3.1.2.16 多个漏洞（2017 年 1 月 CPU）	Nessus	Web Servers	1/19/2017	11/13/2019	high
9947	Oracle GlassFish Server 2.1.1.x < 2.1.1.30 / 3.0.1.x < 3.0.1.15 / 3.1.2.x < 3.1.2.16 Multiple Vulnerabilities (January 2017 CPU)	Nessus Network Monitor	Web Servers	2/9/2017	3/6/2019	high

Detections

Analytics

Plugins Search

critical

high

high

critical

high

high

high