バージョン8u222へのこのjava-1_8_0-openjdkの更新では、次の問題を修正しています：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-2745：ECC実装を向上します（bsc#1141784）。

CVE-2019-2762：例外的なスローケース（bsc#1141782）。

CVE-2019-2766：ファイルプロトコルの処理を改善します（bsc#1141789）。

CVE-2019-2769：CopiesListのよりよいコピー（bsc#1141783）。

CVE-2019-2786：より限定的な権限の使用（bsc#1141787）。

CVE-2019-2816：正規化を正規化します（bsc#1141785）。

CVE-2019-2842：拡張AESサポート（bsc#1141786）。

CVE-2019-7317：PNGサポートを改善します（bsc#1141780）。

証明書検証の改善

修正された非セキュリティ問題：manページが存在しない場合にインストールに失敗した問題を修正しました（bsc#1115375）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、7 Update 231、8 Update 221、11 Update 4、または12 Update 2より前です。したがって、以下の複数の脆弱性の影響を受けます。- Oracle Java SEのユーティリティおよびJCEサブコンポーネントの詳細不明な脆弱性により、認証されていないリモートの攻撃者が部分的サービス拒否を引き起こす可能性があります。（CVE-2019-2762、CVE-2019-2769、CVE-2019-2842）- Oracle Java SEのセキュリティサブコンポーネントの詳細不明な脆弱性により、認証されていないローカルの攻撃者が重要なJava SEデータに不正にアクセスする可能性があります。（CVE-2019-2745）- Oracle Java SEのネットワーキングおよびセキュリティサブコンポーネントの詳細不明な脆弱性により、認証されていないリモートの攻撃者がJava SEデータに不正にアクセスする可能性があります。この脆弱性を悪用するには、ユーザーの関与が必要です。（CVE-2019-2766、CVE-2019-2786、CVE-2019-2818）- Oracle Java SEのネットワーキングサブコンポーネントの詳細不明な脆弱性により、認証されていないリモートの攻撃者がJava SEデータに不正にアクセスし、読み取り、更新、挿入、削除を行う可能性があります。（CVE-2019-2816）- Oracle Java SEのJSSEサブコンポーネントの詳細不明な脆弱性により、認証されていないリモートの攻撃者が重要なJava SEデータに不正にアクセスする可能性があります。この脆弱性を悪用するには、ユーザーの関与が必要です。（CVE-2019-2821）- Oracle Java SEのlibpngサブコンポーネントに解放後使用（Use After Free）の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、Java SEに完全なサービス拒否状態を引き起こす可能性があります。この脆弱性を悪用するには、ユーザーの関与が必要です。（CVE-2019-7317）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of Oracle (formerly Sun) Java SE or Java for Business installed on the remote host is prior to 7 Update 231, 8 Update 221, 11 Update 4, or 12 Update 2. It is, therefore, affected by multiple vulnerabilities:

  - Unspecified vulnerabilities in the utilities and JCE subcomponents of Oracle Java SE, which could allow an unauthenticated remote attacker to cause a partial denial of service. (CVE-2019-2762, CVE-2019-2769, CVE-2019-2842)

  - An unspecified vulnerability in the security subcomponent of Oracle Java SE, which could allow an unauthenticated local attacker to gain unauthorized access to critical Java SE data. (CVE-2019-2745)

  - Unspecified vulnerabilities in the networking and security subcomponents of Oracle Java SE, which could allow an unauthenticated remote attacker to gain unauthorized access to Java SE data. Exploitation of this vulnerability requires user interaction. (CVE-2019-2766, CVE-2019-2786, CVE-2019-2818)

  - An unspecified vulnerability in the networking subcomponent of Oracle Java SE, which could allow an unauthenticated remote attacker unauthorized read, update, insert or delete access to Java SE data. (CVE-2019-2816)

  - An unspecified vulnerability in the JSSE subcomponent of Oracle Java SE, which could allow an unauthenticated, remote attacker to gain unauthorized access to critical Java SE data. Exploitation of this vulnerability requires user interaction. (CVE-2019-2821)

  - A use after free vulnerability exists in the libpng subcomponent of Oracle Java SE. 認証されていないリモートの攻撃者がこれを悪用し、Java SEに完全なサービス拒否状態を引き起こす可能性があります。この脆弱性を悪用するには、ユーザーの関与が必要です。
    (CVE-2019-7317)

Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

バージョン8u222へのこのjava-1_8_0-openjdkの更新では、次の問題を修正しています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-2745：ECC実装を向上します（bsc#1141784）。

  - CVE-2019-2762：例外的なスローケース（bsc#1141782）。

  - CVE-2019-2766：ファイルプロトコルの処理を改善します（bsc#1141789）。

  - CVE-2019-2769：CopiesListのよりよいコピー（bsc#1141783）。

  - CVE-2019-2786：より限定的な権限の使用（bsc#1141787）。

  - CVE-2019-2816：正規化を正規化します（bsc#1141785）。

  - CVE-2019-2842：拡張AESサポート（bsc#1141786）。

  - CVE-2019-7317：PNGサポートを改善します（bsc#1141780）。

  - 証明書検証の改善

修正された非セキュリティ問題：

  - manページが存在しない場合にインストールに失敗した問題を修正しました（bsc#1115375）

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

バージョンjdk-11.0.4+11へのこのjava-11-openjdkの更新では、次の問題を修正しています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-2745：ECC実装を向上します（bsc#1141784）。

  - CVE-2019-2762：例外的なスローケース（bsc#1141782）。

  - CVE-2019-2766：ファイルプロトコルの処理を改善します（bsc#1141789）。

  - CVE-2019-2769：CopiesListのよりよいコピー（bsc#1141783）。

  - CVE-2019-2786：より限定的な権限の使用（bsc#1141787）。

  - CVE-2019-7317：PNGサポートオプションを改善します（bsc#1141780）。

  - CVE-2019-2818：Poly1305サポートを改善します（bsc#1141788）。

  - CVE-2019-2816：正規化を正規化します（bsc#1141785）。

  - CVE-2019-2821：TLSネゴシエーションを改善します（bsc#1141781）。

  - 証明書検証の改善

セキュリティ以外の修正された問題：

  - manページが存在しない場合でもインストールに失敗しません（bsc#1115375）

  - JDK-8208602の上流修正をバックポート：空白は、ヘッダまたはフッタの後に存在する場合PEM X.509証明書を読み取ることができません（bsc#1140461）

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートの SUSE Linux SLES11ホストには、SUSE-SU-2019:14160-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.15.0 より前の Eclipse OpenJ9 の AIX ビルドには、未使用の RPATH が含まれており、ローカルユーザーによるコードインジェクションや権限昇格を容易にする可能性があります。(CVE-2019-11771)

  - 0.15より前の Eclipse OpenJ9 のすべてのビルドには、バージョン管理によってループから引き出された値のプライベート化に失敗する可能性があるバグが含まれています。たとえば、フィールドを読み取るループから移動された状態がある場合、ループの変更されたコピーでそのフィールドの値をプライベート化しない可能性があります。これにより、テストでフィールドの 1 つの値を確認し、その後、ループから移動された状態を再テストすることなく、変更されたフィールドの値を確認できます。これにより、さまざまな問題が発生する可能性がありますが、配列境界外の読み取りは、これらの問題の主な結果の 1 つです。(CVE-2019-11775)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性(サブコンポーネント: ユーティリティ)。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u221、8u212、11.0.3および12.0.1; Java SE Embedded:
    8u211。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否(部分的DOS)が権限なしで引き起こされる可能性があります。
    注: この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを(Java SE 8で)実行しているクライアントで、信頼できないコード(インターネットからのコードなど)を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって(たとえばAPIにデータを提供するWebサービスを通して)悪用される可能性もあります。CVSS 3.0ベーススコア5.3 (可用性に影響)。CVSS Vector:
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L ) 。 (CVE-2019-2762、CVE-2019-2769 )

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性(サブコンポーネント: ネットワーキング)。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u221、8u212、11.0.3および12.0.1; Java SE Embedded:
    8u211。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを(Java SE 8で)実行しているクライアントで、信頼できないコード(インターネットからのコードなど)を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって(たとえばAPIにデータを提供するWebサービスを通して)悪用される可能性もあります。CVSS 3.0ベーススコア3.1 (機密性に影響) CVSS Vector: (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N)。(CVE-2019-2766)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性(サブコンポーネント: ネットワーキング)。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u221、8u212、11.0.3および12.0.1; Java SE Embedded:
    8u211。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセス可能な一部のデータが権限なしで更新、挿入または削除され、Java SE、Java SE Embedded がアクセス可能なデータサブセットへの権限のない読み取りアクセスが可能になる可能性があります。注: この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを(Java SE 8で)実行しているクライアントで、信頼できないコード(インターネットからのコードなど)を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって(たとえばAPIにデータを提供するWebサービスを通して)悪用される可能性もあります。CVSS 3.0ベーススコア4.8(機密性と整合性への影響) CVSS Vector:
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)。(CVE-2019-2816)

  - AIX プラットフォームの IBM SDK、Java Technology Edition 7、7R、および 8 の複数のバイナリは、安全でない絶対 RPATH を使用します。これにより、ローカルユーザーによるコードインジェクションと権限昇格が容易になることがあります。IBM X-Force ID: 163984。(CVE-2019-4473)

  -1.6.37より前libpng1.6.xにおけるpng.cには、png_image_free_functionがpng_safe_execute下で呼び出されるため、メモリ解放後使用(Use-After-Free)があります。(CVE-2019-7317)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	Name	Product	Family	Published	Updated	Severity
127757	SUSE SLED15 / SLES15セキュリティ更新プログラム：java-1_8_0-openjdk（SUSE-SU-2019:2021-1）	Nessus	SuSE Local Security Checks	8/12/2019	5/6/2024	medium
126820	Oracle Java SE 1.7.0_231/1.8.0_221/1.11.0_4/1.12.0_2の複数の脆弱性（2019年4月のCPU）（UNIX）	Nessus	Misc.	7/19/2019	5/9/2024	medium
126821	Oracle Java SE 1.7.0_231/1.8.0_221/1.11.0_4/1.12.0_2の複数の脆弱性（2019年7月のCPU）	Nessus	Windows	7/19/2019	5/9/2024	medium
128004	openSUSEセキュリティ更新プログラム：java-1_8_0-openjdk（openSUSE-2019-1912）	Nessus	SuSE Local Security Checks	8/20/2019	5/2/2024	medium
128008	openSUSEセキュリティ更新プログラム：java-11-openjdk（openSUSE-2019-1916）	Nessus	SuSE Local Security Checks	8/20/2019	5/2/2024	medium
150540	SUSE SLES11セキュリティ更新プログラム:java-1_7_1-ibm (SUSE-SU-2019:14160-1)	Nessus	SuSE Local Security Checks	6/10/2021	12/26/2023	high

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

high