最新のセキュリティパッチを追加してください。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Red Hat セキュリティアドバイザリ 2010:0339 から：

複数のセキュリティ問題を修正する、更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

TLS/SSL（Transport Layer Security/Secure Sockets Layer）プロトコルがセッションの再ネゴシエーションを処理過程に欠陥が見つかりました。
中間攻撃者は、この欠陥を利用して、クライアントのセッションに任意のプレーンテキストを前置する可能性があります（例えば、 Web サイトへの HTTPS 接続）。これにより、攻撃者のリクエストをまるで被害者の認証情報を使用して認証されたかのようにサーバーに無理に処理させることができます。
(CVE-2009-3555)

この更新は、Java Secure Socket Extension（JSSE）コンポーネントで再ネゴシエーションを無効にします。sun.security.ssl.allowUnsafeRenegotiation プロパティを使用することで、安全でない再ネゴシエーションが再度有効になる可能性があります。詳細については、以下の Knowledge Base の記事を参照してください：
http://kbase.redhat.com/faq/docs/DOC-20491

Java Virtual Machine（JVM）および様々な Java クラスの実装において多数の欠陥が修正されました。これらの欠陥により、無署名アプレットまたはアプリケーションが、意図したアクセス制限をバイパスできる可能性があります。
（CVE-2010-0082、CVE-2010-0084、CVE-2010-0085、 CVE-2010-0088、CVE-2010-0094）

アプレットのキャンバスでドラッグ操作が実行された場合、信頼できないアプレットがクリップボード情報にアクセスする可能性があります。これにより、情報漏洩が発生する可能性があります。(CVE-2010-0091)

rawIndex の操作が大きな値を不適切に処理したことで、メモリ内部構造の破損を引き起こし、信頼できないアプレットまたはアプリケーションのクラッシュが発生しました。(CVE-2010-0092)

System.arraycopy の操作が大きなインデックス値を不適切に処理することで、信頼できないアプレットまたはアプリケーションで配列破損が発生する可能性があります。(CVE-2010-0093)

InetAddress のサブクラスがネットワークアドレスを不適切に解釈することで、信頼できないアプレットまたはアプリケーションがネットワークアクセス制限をバイパスする可能性があります。(CVE-2010-0095)

特定の場合において、型割り当てが「不正確な」インターフェイス型になる可能性があります。これは、型安全性の制限をバイパスするのに利用される可能性があります。(CVE-2010-0845)

（OpenJDK に埋め込まれた）LittleCMS でのバッファオーバーフローの欠陥により、信頼できないソースからの色プロファイルを使用する信頼できないアプレットまたはアプリケーションがクラッシュする可能性があります。(CVE-2010-0838)

JRE unpack200 の機能に、入力検証の欠陥が見つかりました。
信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、権限を昇格する可能性があります。(CVE-2010-0837)

信頼できるアプレットメソッドに対する呼び出しの遅延によって不適切な権限が付与され、信頼できないアプレットまたはアプリケーションがその権限を昇格できる可能性があります。(CVE-2010-0840)

JRE での入力検証漏れの欠陥により、攻撃者が信頼できないアプレットまたはアプリケーションをクラッシュさせる可能性があります。(CVE-2010-0848)

Java2D の欠陥により、Java2D を使用する信頼できないアプレットまたはアプリケーションを実行しているユーザーの権限で、攻撃者が任意のコードを実行できる可能性があります。(CVE-2010-0847)

注：このアドバイザリ内のアプレットに関する欠陥（CVE-2010-0082、 CVE-2010-0084、CVE-2010-0085、CVE-2010-0088、CVE-2010-0091、 CVE-2010-0092、CVE-2010-0093、CVE-2010-0094、CVE-2010-0095、 CVE-2010-0837、CVE-2010-0838、CVE-2010-0840、CVE-2010-0847 および CVE-2010-0848）は、「appletviewer」アプリケーションを呼び出すことで、 java-1.6.0-openjdk でのみ発生する可能性があります。

この更新は 3 つの多重防御パッチも提供します。（BZ#575745、BZ#575861、BZ#575789）

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

Sun Java 6 は Update 19 に更新され、大量のセキュリティ問題が修正されました。

CVE-2009-3555 CVE-2010-0082 CVE-2010-0084 CVE-2010-0085 CVE-2010-0087 CVE-2010-0088 CVE-2010-0089 CVE-2010-0090 CVE-2010-0091 CVE-2010-0092 CVE-2010-0093 CVE-2010-0094 CVE-2010-0095 CVE-2010-0837 CVE-2010-0838 CVE-2010-0839 CVE-2010-0840 CVE-2010-0841 CVE-2010-0842 CVE-2010-0843 CVE-2010-0844 CVE-2010-0845 CVE-2010-0846 CVE-2010-0847 CVE-2010-0848 CVE-2010-0849 CVE-2010-0850

Red Hat Enterprise Linux 4 Extras および 5 Supplementary に同梱の java-1.5.0-sun パッケージには、セキュリティの欠陥があるため、使用しないでください。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Sun 1.5.0 Java リリースには、Sun Java 5 Runtime Environment および Sun Java 5 ソフトウェア開発キットが含まれています。

java-1.5.0-sun パッケージは、多数のセキュリティの欠陥に脆弱であるため、今後は使用しないでください。（CVE-2009-3555、CVE-2010-0082、CVE-2010-0084、CVE-2010-0085、CVE-2010-0087、CVE-2010-0088、CVE-2010-0089、CVE-2010-0091、CVE-2010-0092、CVE-2010-0093、CVE-2010-0094、CVE-2010-0095、CVE-2010-0837、CVE-2010-0838、CVE-2010-0839、CVE-2010-0840、CVE-2010-0841、CVE-2010-0842、CVE-2010-0843、CVE-2010-0844、CVE-2010-0845、CVE-2010-0846、CVE-2010-0847、CVE-2010-0848、CVE-2010-0849）

Sun Java SE Release ファミリー 5.0 は、2009 年 11 月 3 日にサポート終了日を迎えました。RHSA-2009:1571 の更新により、一般に利用可能なバージョン 5.0 の最終的な更新（Update 22）を提供しました。Sun Java SE 5.0 用の重大な修正を常に受け取りたいユーザーは、Oracle に連絡してください：

http://www.sun.com/software/javaforbusiness/index.jsp

Sun Java SE 5.0 に代わるものは IBM Developer Kit for Linux の Java 2 Technology Edition であり、これは Red Hat Network で Extras およびSupplementary チャネルから利用可能です。

Java 6 ランタイムを使用できるアプリケーションは、Red Hat Enterprise Linux 5 に付属のオープンソース JDK である OpenJDK（java-1.6.0-openjdk）5.3 以降、IBM JDK（java-1.6.0-ibm）、または Sun JDK（java-1.6.0-sun）において、Java 6 に移行することができます。

この更新では、サポート終了日を迎えたため、java-1.5.0-sun パッケージを削除しています。

リモートホストにインストールされている Oracle（旧 Sun）Java Runtime Environment (JRE) のバージョンは、6 Update 19 / 5.0 Update 24 / 1.4.2_26.より前です。このようなバージョンは、以下のコンポーネントのセキュリティ問題の影響を受けることがあります。

- ImageIO
- Java 2D
- JRE
- Java Web Start、Java プラグイン
- Pack200
- Sound
- JSSE
- HotSpot Server

java-1_6_0-openjdk バージョン 1.7.3 は、複数のセキュリティ問題を修正します：

- CVE-2010-0837：JAR「unpack200」は、入力パラメーターを検証する必要があります

- CVE-2010-0845：-Xcomp で実行する場合、HashAttributeSet コンストラクターに対する ClassCastException はありません

- CVE-2010-0838：CMM readMabCurveData のバッファオーバーフローの脆弱性

- CVE-2010-0082：ローダー制約のあるテーブルは、ベースクラスのみではなく、配列を許可します

- CVE-2010-0095：InetAddress のサブクラスが、ネットワークアドレスを不適切に解釈する場合があります

- CVE-2010-0085：ファイル TOCTOU の逆シリアル化の脆弱性

- CVE-2010-0091：署名のないアプレットが、ドロップアクション発生前にドラッグされた情報を取得する可能性があります

- CVE-2010-0088：インフレーター/デフレータークローンの問題

- CVE-2010-0084：Policy/PolicyFile 漏洩の動的 ProtectionDomains。

- CVE-2010-0092：AtomicReferenceArray は、SIGSEGV -> SEGV_MAPERR エラーを引き起こします

- CVE-2010-0094：RMIConnectionImpl オブジェクトの逆シリアル化により、より厳密なチェックを実行する必要があります

- CVE-2010-0093：System.arraycopy は、Integer.MAX_VALUE のバイト数を超える要素を参照できません

- CVE-2010-0840：アプレットの信頼できるメソッドは、権限昇格の脆弱性につながります

- CVE-2010-0848：AWT ライブラリの無効なインデックスの脆弱性

- CVE-2010-0847：ImagingLib における任意のコード実行の脆弱性

- CVE-2009-3555：TLS：セッション再ネゴシエーションを介する MITM 攻撃

リモートの VMware ESX / ESXi ホストにセキュリティ関連のパッチがありません。
したがって、いくつかのサードパーティのコンポーネントとライブラリで、リモートコードの実行の脆弱性を含む複数の脆弱性による影響を受けます：

- Apache Tomcat 
 - Apache Tomcat Manager
 - cURL 
 - Java Runtime Environment (JRE)
 - Kernel 
 - Microsoft SQL Express
 - OpenSSL
 - pam_krb5

リモートホストにインストールされている Oracle（旧 Sun）Java Runtime Environment (JRE) のバージョンは、6 Update 19 / 5.0 Update 24 / 1.4.2_26.より前です。このようなバージョンは、以下のコンポーネントのセキュリティ問題の影響を受けることがあります。

  - ImageIO
   - Java 2D
   - JRE
   - Java Web Start、Java プラグイン
   - Pack200
   - Sound
   - JSSE
   - HotSpot Server

いくつかのセキュリティ問題を修正する、更新済みの java-1.6.0-sun パッケージが、Red Hat Enterprise Linux 4 Extras および 5 Supplementary で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Sun 1.6.0 Java リリースには、Sun Java 6 Runtime Environment および Sun Java 6 ソフトウェア開発キットが含まれています。

この更新は、Sun Java 6 Runtime Environment および Sun Java 6 ソフトウェア開発キットのいくつかの脆弱性を修正します。これらの欠陥の詳細については「Oracle Java SE and Java for Business Critical Patch Update Advisory」ページの「参照」セクションをを参照してください。（CVE-2009-3555、CVE-2010-0082、CVE-2010-0084、CVE-2010-0085、CVE-2010-0087、CVE-2010-0088、CVE-2010-0089、CVE-2010-0090、CVE-2010-0091、CVE-2010-0092、CVE-2010-0093、CVE-2010-0094、CVE-2010-0095、CVE-2010-0837、CVE-2010-0838、CVE-2010-0839、CVE-2010-0840、CVE-2010-0841、CVE-2010-0842、CVE-2010-0843、CVE-2010-0844、CVE-2010-0845、CVE-2010-0846、CVE-2010-0847、CVE-2010-0848、CVE-2010-0849）

CVE-2009-3555 の問題で、この更新は、Java Secure Socket Extension（JSSE）コンポーネントで再ネゴシエーションを無効にします。sun.security.ssl.allowUnsafeRenegotiation プロパティを使用することで、安全でない再ネゴシエーションが再度有効になる可能性があります。詳細については、以下の Knowledge Base の記事を参照してください：
http://kbase.redhat.com/faq/docs/DOC-20491

java-1.6.0-sun のユーザーは、これらの問題を解決する、これらの更新パッケージにアップグレードする必要があります。更新を有効にするには、 Sun Java のすべての実行しているインスタンスを再起動する必要があります。

Sun Java 6 は Update 19 に更新され、多数のセキュリティ問題が修正されました：CVE-2009-3555 / CVE-2010-0082 / CVE-2010-0084 / CVE-2010-0085 / CVE-2010-0087 / CVE-2010-0088 / CVE-2010-0089 / CVE-2010-0090 / CVE-2010-0091 / CVE-2010-0092 / CVE-2010-0093 / CVE-2010-0094 / CVE-2010-0095 / CVE-2010-0837 / CVE-2010-0838 / CVE-2010-0839 / CVE-2010-0840 / CVE-2010-0841 / CVE-2010-0842 / CVE-2010-0843 / CVE-2010-0844 / CVE-2010-0845 / CVE-2010-0846 / CVE-2010-0847 / CVE-2010-0848 / CVE-2010-0849 / CVE-2010-0850。

TLS/SSL（Transport Layer Security/Secure Sockets Layer）プロトコルがセッションの再ネゴシエーションを処理過程に欠陥が見つかりました。
中間攻撃者は、この欠陥を利用して、クライアントのセッションに任意のプレーンテキストを前置する可能性があります（例えば、 Web サイトへの HTTPS 接続）。これにより、攻撃者のリクエストをまるで被害者の認証情報を使用して認証されたかのようにサーバーに無理に処理させることができます。
（CVE-2009-3555）

この更新は、Java Secure Socket Extension（JSSE）コンポーネントで再ネゴシエーションを無効にします。sun.security.ssl.allowUnsafeRenegotiation プロパティを使用することで、安全でない再ネゴシエーションが再度有効になる可能性があります。

Java Virtual Machine（JVM）および様々な Java クラスの実装において多数の欠陥が修正されました。これらの欠陥により、無署名アプレットまたはアプリケーションが、意図したアクセス制限をバイパスできる可能性があります。
（CVE-2010-0082、CVE-2010-0084、CVE-2010-0085、 CVE-2010-0088、CVE-2010-0094）

アプレットのキャンバスでドラッグ操作が実行された場合、信頼できないアプレットがクリップボード情報にアクセスする可能性があります。これにより、情報漏洩が発生する可能性があります。（CVE-2010-0091）

rawIndex の操作が大きな値を不適切に処理したことで、メモリ内部構造の破損を引き起こし、信頼できないアプレットまたはアプリケーションのクラッシュが発生しました。（CVE-2010-0092）

System.arraycopy の操作が大きなインデックス値を不適切に処理することで、信頼できないアプレットまたはアプリケーションで配列破損が発生する可能性があります。（CVE-2010-0093）

InetAddress のサブクラスがネットワークアドレスを不適切に解釈することで、信頼できないアプレットまたはアプリケーションがネットワークアクセス制限をバイパスする可能性があります。（CVE-2010-0095）

特定の場合において、型割り当てが「不正確な」インターフェイス型になる可能性があります。これは、型安全性の制限をバイパスするのに利用される可能性があります。（CVE-2010-0845）

（OpenJDK に埋め込まれた）LittleCMS でのバッファオーバーフローの欠陥により、信頼できないソースからの色プロファイルを使用する信頼できないアプレットまたはアプリケーションがクラッシュする可能性があります。（CVE-2010-0838）

JRE unpack200 の機能に、入力検証の欠陥が見つかりました。
信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、権限を昇格する可能性があります。（CVE-2010-0837）

信頼できるアプレットメソッドに対する呼び出しの遅延によって不適切な権限が付与され、信頼できないアプレットまたはアプリケーションがその権限を昇格できる可能性があります。（CVE-2010-0840）

JRE での入力検証漏れの欠陥により、攻撃者が信頼できないアプレットまたはアプリケーションをクラッシュさせる可能性があります。（CVE-2010-0848）

Java2D の欠陥により、Java2D を使用する信頼できないアプレットまたはアプリケーションを実行しているユーザーの権限で、攻撃者が任意のコードを実行できる可能性があります。（CVE-2010-0847）

注：このアドバイザリ内のアプレットに関する欠陥（CVE-2010-0082、 CVE-2010-0084、CVE-2010-0085、CVE-2010-0088、CVE-2010-0091、 CVE-2010-0092、CVE-2010-0093、CVE-2010-0094、CVE-2010-0095、 CVE-2010-0837、CVE-2010-0838、CVE-2010-0840、CVE-2010-0847 および CVE-2010-0848）は、「appletviewer」アプリケーションを呼び出すことで、 java-1.6.0-openjdk でのみ発生する可能性があります。

この更新は 3 つの多重防御パッチも提供します。（BZ#575745、BZ#575861、BZ#575789）

更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

ID	Name	Product	Family	Published	Updated	Severity
47411	Fedora 11：java-1.6.0-openjdk-1.6.0.0-34.b17.fc11（2010-6039）	Nessus	Fedora Local Security Checks	7/1/2010	5/25/2022	info
68028	Oracle Linux 5：java-1.6.0-openjdk（ELSA-2010-0339）	Nessus	Oracle Linux Local Security Checks	7/12/2013	5/25/2022	info
45454	openSUSE セキュリティ更新：java-1_6_0-sun（java-1_6_0-sun-2228）	Nessus	SuSE Local Security Checks	4/9/2010	5/25/2022	info
46294	RHEL 4 / 5：java-1.5.0-sun（RHSA-2010:0338）	Nessus	Red Hat Local Security Checks	5/11/2010	5/25/2022	info
64842	Oracle Java SE の複数の脆弱性（2010 年 3 月 CPU）（Unix）	Nessus	Misc.	2/22/2013	5/25/2022	info
46187	openSUSE セキュリティ更新：java-1_6_0-openjdk（openSUSE-SU-2010:0182-1）	Nessus	SuSE Local Security Checks	4/30/2010	5/25/2022	info
89674	VMware ESX/ESXi サードパーティライブラリの複数の脆弱性（VMSA-2011-0003）（remote check）	Nessus	Misc.	3/4/2016	5/25/2022	high
45379	Oracle Java SE の複数の脆弱性（March 2010 CPU）	Nessus	Windows	3/30/2010	5/25/2022	high
46293	RHEL 4 / 5：java-1.6.0-sun（RHSA-2010:0337）	Nessus	Red Hat Local Security Checks	5/11/2010	4/21/2024	critical
50917	SuSE 11 セキュリティ更新：Sun Java 6 （SAT パッチ番号 2225）	Nessus	SuSE Local Security Checks	12/2/2010	5/25/2022	info
60776	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の java-1.6.0-openjdk	Nessus	Scientific Linux Local Security Checks	8/1/2012	5/25/2022	info

Detections

Analytics

Plugins Search

info

info

info

info

info

info

high

high

critical

info

info