複数のセキュリティ問題を修正する更新済みの java-1.7.0-openjdk パッケージが、Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

これらのパッケージは、OpenJDK 7 Java Runtime Environment および OpenJDK 7 ソフトウェア開発キットを提供します。

OpenJDK の AWT、CORBA、JMX、Libraries、Beans のコンポーネントに、複数の不適切な権限チェックの問題が見つかりました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。（CVE-2013-0442、CVE-2013-0445、CVE-2013-0441、CVE-2013-1475、CVE-2013-1476、CVE-2013-0429、CVE-2013-0450、CVE-2013-0425、CVE-2013-0426、CVE-2013-0428、CVE-2013-0444）

2D と AWT のコンポーネントで画像パーサーが画像ラスターパラメーターを処理する方法で複数の欠陥が見つかりました。特別に細工された画像により、 Java 仮想マシンのメモリが破損することや、仮想マシン権限で任意のコードが実行される恐れがあります。
（CVE-2013-1478、 CVE-2013-1480）

コードを処理している AWT コンポーネントのクリップボードに欠陥が見つかりました。信頼されていない Java アプリケーションまたはアプレットはこの欠陥を利用して、クリップボードのデータにアクセスし、Java サンドボックスの制限をバイパスすることができます。(CVE-2013-0432)

デフォルトの Java セキュリティプロパティの構成は、特定の com.sun.xml.internal パッケージへのアクセスを制限しませんでした。信頼されていない Java アプリケーションまたはアプレットはこの欠陥を利用して、情報にアクセスし、特定の Java サンドボックスの制限をバイパスすることができます。この更新は、制限付きとしてパッケージ全体を一覧表示します。(CVE-2013-0435)

JMX、Libraries、Networking、JAXP コンポーネントに、複数の不適切な権限チェックの問題が見つかりました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。（CVE-2013-0431、CVE-2013-0427、CVE-2013-0433、 CVE-2013-0434）

RMI コンポーネントの CGIHandler クラスが、サニタイズなしにエラーメッセージのユーザー入力を使用していたことが発見されました。攻撃者はこの欠陥を利用して、クロスサイトスクリプティング（XSS）攻撃を実行する可能性があります。
(CVE-2013-0424)

JSSE コンポーネントの SSL/TLS 実装が、ハンドシェイクメッセージの順序を適切に強制しないため、無制限の数のハンドシェイクが再起動されることが発見されました。リモートの攻撃者が、この欠陥を利用し、ハンドシェイクを継続的に再起動することにより、 JSSE を使用する SSL/TLS サーバーに、過剰な量の CPU を消化させることが可能です。
(CVE-2013-0440)

JSSE コンポーネントがディフィー・ヘルマン・パブリック鍵を適切に検証しなかったことが発見されました。SSL/TLS クライアントはこの欠陥を利用して小規模のサブグループ攻撃を行うことができます。(CVE-2013-0443)

また、このエラータは、OpenJDK パッケージを IcedTea7 2.3.5 にアップグレードします。
詳細については、「参照」にリンクがある NEWS ファイルを参照してください。

java-1.7.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

リモートホストに 8.5.3 Fix Pack 5 より前の IBM Notes（旧 Lotus Notes）8.5.x のバージョンがインストールされています。そのため、以下の脆弱性の影響を受ける可能性があります：

  - The included version of the IBM Java SDK contains a version of the IBM JRE that contains numerous security issues. (CVE-2013-0809, CVE-2013-1493, CVE-2013-2436, CVE-2013-2455, CVE-2013-3006, CVE-2013-3007, CVE-2013-3008, CVE-2013-3009, CVE-2013-3010, CVE-2013-3011, CVE-2013-3012)

  - 注意：2013 年 2 月、4 月、6 月の Oracle Java CPU の修正は、修正済みの IBM Notes リリース内の、修正済みの IBM Java リリースに含まれています。
    (CVE-2012-1541, CVE-2012-3213, CVE-2012-3342, CVE-2013-0351, CVE-2013-0401, CVE-2013-0402, CVE-2013-0409, CVE-2013-0419, CVE-2013-0423, CVE-2013-0424, CVE-2013-0425, CVE-2013-0426, CVE-2013-0427, CVE-2013-0428, CVE-2013-0429, CVE-2013-0430, CVE-2013-0431, CVE-2013-0432, CVE-2013-0433, CVE-2013-0434, CVE-2013-0435, CVE-2013-0437, CVE-2013-0438, CVE-2013-0440, CVE-2013-0441, CVE-2013-0442, CVE-2013-0443, CVE-2013-0444, CVE-2013-0445, CVE-2013-0446, CVE-2013-0448, CVE-2013-0449, CVE-2013-0450, CVE-2013-1473, CVE-2013-1475, CVE-2013-1476, CVE-2013-1478, CVE-2013-1479, CVE-2013-1480, CVE-2013-1481, CVE-2013-1488, CVE-2013-1489, CVE-2013-1491, CVE-2013-1500, CVE-2013-1518, CVE-2013-1537, CVE-2013-1540, CVE-2013-1557, CVE-2013-1558, CVE-2013-1561, CVE-2013-1563, CVE-2013-1564, CVE-2013-1569, CVE-2013-1571, CVE-2013-2383, CVE-2013-2384, CVE-2013-2394, CVE-2013-2400, CVE-2013-2407, CVE-2013-2412, CVE-2013-2414, CVE-2013-2415, CVE-2013-2416, CVE-2013-2417, CVE-2013-2418, CVE-2013-2419, CVE-2013-2420, CVE-2013-2421, CVE-2013-2422, CVE-2013-2423, CVE-2013-2424, CVE-2013-2425, CVE-2013-2426, CVE-2013-2427, CVE-2013-2428, CVE-2013-2429, CVE-2013-2430, CVE-2013-2431, CVE-2013-2432, CVE-2013-2433, CVE-2013-2434, CVE-2013-2435, CVE-2013-2437, CVE-2013-2438, CVE-2013-2439, CVE-2013-2440, CVE-2013-2442, CVE-2013-2443, CVE-2013-2444, CVE-2013-2445, CVE-2013-2446, CVE-2013-2447, CVE-2013-2448, CVE-2013-2449, CVE-2013-2450, CVE-2013-2451, CVE-2013-2452, CVE-2013-2453, CVE-2013-2454, CVE-2013-2456, CVE-2013-2457, CVE-2013-2458, CVE-2013-2459, CVE-2013-2460, CVE-2013-2461, CVE-2013-2462, CVE-2013-2463, CVE-2013-2464, CVE-2013-2465, CVE-2013-2466, CVE-2013-2467, CVE-2013-2468, CVE-2013-2469, CVE-2013-2470, CVE-2013-2471, CVE-2013-2472, CVE-2013-2473, CVE-2013-3743, CVE-2013-3744, CVE-2013-4002)

リモートホストは、GLSA-201406-32 で説明されている脆弱性の影響を受けます（IcedTea JDK：複数の脆弱性）

複数の脆弱性が IcedTea JDK に発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者がプロセスの権限で任意のコードを実行することにより、サービス拒否状態を引き起こしたり、機密情報を取得したり、セキュリティポリシーをバイパスしたり、その他の詳細不明の影響を与えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

リモート Mac OS X 10.7 または 10.8 のホストには、Java for OS X 2013-001 アップデートがない Java runtime があります。これは、Java バージョンを 1.6.0_41 に更新します。このため、いくつかのセキュリティ脆弱性の影響を受けます。最も深刻なものは、Java サンドボックス外部の現在のユーザーの権限で信頼できない Java アプレットに任意のコードを実行させるものです。

java-1_7_0-openjdk は、次のセキュリティとバグの様々な修正が含まれる、icedtea -2.3.6（bnc#803379）に更新されました：

- セキュリティ修正

- S6563318、CVE-2013-0424：RMI データサニタイズ

- S6664509、CVE-2013-0425：ロギングコンテキストを追加します

- S6664528、CVE-2013-0426：構築時間で与えられた名前または値に一致するログレベルを検索します

- S6776941：CVE-2013-0427：スレッドプールシャットダウンを改善します

- S7141694、CVE-2013-0429：CORBA の内部を改善します

- S7173145：スプラッシュスクリーンのインメモリ表現を改善します

- S7186945：Unpack200 を改善します

- S7186946：アンパッカーリソース使用率の精度を改善します

- S7186948：Swing データの検証を改善します

- S7186952、CVE-2013-0432：クリップボードのアクセスを改善します

- S7186954：接続パフォーマンスを改善します

- S7186957：Pack200 データの検証を改善します

- S7192392、CVE-2013-0443：クライアントキーの検証を改善します

- S7192393、CVE-2013-0440：TLS メッセージの順番のチェックを改善します

- S7192977、CVE-2013-0442：ツールキットスレッドの問題

- S7197546、CVE-2013-0428：（プロキシ）リフレクティブプロキシ作成を反映します

- S7200491：JTable レイアウトコードを強化します

- S7200493、CVE-2013-0444：キャッシュ処理の改善

- S7200499：オプションのデータ検証の改善

- S7200500：ランチャーの改善された入力検証

- S7201064：ダイアログのチェックを改善します

- S7201066、CVE-2013-0441：未使用フィールドの修飾子を変更します

- S7201068、CVE-2013-0435：UI 要素の処理を改善します

- S7201070：プロトコルへ準拠するためのシリアル化

- S7201071、CVE-2013-0433：InetSocketAddress のシリアル化の問題

- S8000210：JarFile コードの品質を改善します

- S8000537、CVE-2013-0450：RequiredModelMBean クラスをコンテキスト化します

- S8000539、CVE-2013-0431：JMX のデータ処理をイントロスペクトする

- S8000540、CVE-2013-1475：IIOP タイプ再利用の管理を改善します

- S8000631、CVE-2013-1476：クラスコンストラクターへのアクセスを制限します

- S8001235、CVE-2013-0434：JAXP HTTP 処理を改善します

- S8001242：RMI HTTP への準拠を改善します

- S8001307：ACC_SUPER の挙動を修正します

- S8001972、CVE-2013-1478：画像処理を改善します

- S8002325、CVE-2013-1480：画像管理を改善します

- バックポート

- S7057320：
 test/java/util/concurrent/Executors/AutoShutdown.java が断続的に失敗する

- S7083664：TEST_BUG：c:/temp を使用したハードコードをテストするが、このディレクトリが存在しないことがある

- S7107613：javax.crypto.CryptoPermissions のスケーラビリティブロッカー

- S7107616：javax.crypto.JceSecurityManager のスケーラビリティブロッカー

- S7146424：シングルエントリの classpath にワイルドカード展開

- S7160609：[macosx] libjvm.dylib（C [GeForceGLDriver+0x675a] gldAttachDrawable+0x941）の JDK クラッシュ

- S7160951：[macosx] ScreenMenuBar を使用する JMenuItem に対し、ActionListener が 2 度呼ばれる

- S7162488：VM で未知の -XX オプションが印刷されない

- S7169395：JDK 7 オブジェクトのトラバーサルの変更により例外がスローされ、後方互換性が失われる

- S7175616：JDK 8 から JDK 7 への TimeZone の修正をポートする

- S7176485：（bf）一時バッファキャッシュが IOV_MAX になることを許可する

- S7179908：jdk7u7 用に hs22.2 から hs23.3 hsx をフォークし、ビルド番号を再初期化してください

- S7184326：
 TEST_BUG：java/awt/Frame/7024749/bug7024749.java に誤字がある

- S7185245：ライセンスソースのバンドルが JFR をコンパイルしようとする

- S7185471：AES 暗号を同一の鍵で再初期化する時に、鍵展開を防止する

- S7186371：[macosx] メインメニューのショートカットが表示されない（7u6 回帰）

- S7187834：[macosx] macosx の 2d 実装でプライベート API を使用すると、Apple Store で拒否される

- S7188114：（launcher）Windows 用の代替コマンドラインパーサーが必要

- S7189136：jdk7u9 用に hs23.4 から hs23.5 hsx をフォークし、ビルド番号を再初期化してください

- S7189350：CR 7162144 の修正が失敗する

- S7190550：REGRESSION：修正 7185245 が原因で、一部の closed/com/oracle/jfr/api テストでコンパイルが失敗する

- S7193219：JDK 1.7 で JComboBox のシリアル化が失敗する

- S7193977：REGRESSION：Java 7 の JavaBeans がプロパティの「transient」フラグを無視して永続する

- S7195106：REGRESSION：Softreference のリリース後、アイコン情報を取得する方法がない

- S7195301：XML Signature DOM の実装では、ノードのタイプの決定に instanceof を使用してはならない

- S7195931：jre7u6+ から NSS を使用中に、PKCS11.C_GetOperationState で UnsatisfiedLinkError が発生する

- S7197071：様々なセキュリティプロバイダーの Makefiles にデフォルトのマニフェストが含まれていない

- S7197652：OCSP がデフォルトでオフになっているため、署名付きの全ての JNLP アプリケーションまたはアプレットが実行できない

- S7198146：Windows-amd64 上で、別の新規回帰テストを行ってもコンパイルできない

- S7198570：（tz）tzdata2012f をサポートします

- S7198640：新しいホットスポットのビルド - hs23.6-b04

- S7199488：[TEST] PID マッチで偽陽性となるため、runtime/7158800/InternTest.java が失敗する

- S7199645：hs23.5 のビルド番号が、b02 へ増加されます

- S7199669：CPU リリースの名前の変更のため、.hgtags ファイルのタグを更新

- S7200720：NTLM 認証の際に net.dll がクラッシュする

- S7200742：（se）Coherence の起動時に Selector.select がブロックしない（sol11u1）

- S7200762：[macosx] sun.java2d.opengl.CGLGraphicsConfig.getMaxTextureSize（Native Method）でスタックする

- S8000285：PostEventQueue.noEvents、EventQueue.isDispatchThread および SwingUtilities.invokeLater 間のデッドロック

- S8000286：[macosx] DnD しても、ビューがドラッグ位置にスクロールバックし続ける

- S8000297：REGRESSION：
 closed/java/awt/EventQueue/PostEventOrderingTest.java が失敗する

- S8000307：Jre7cert：alt + tab をしても、focusgained が全てのフォーカスリクエストに対して呼び出されない

- S8000822：jdk7u11 用に hs23.6 から hs23.7 hsx をフォークし、ビルド番号を再初期化してください

- S8001124：jdk7u ProblemList.txt の更新（10/2012）

- S8001242：RMI HTTP への準拠を改善します

- S8001808：8000327 のテストを作成

- S8001876：8000283 の回帰テストを作成

- S8002068：Build 破損：corba のコード変更により JDK 7 の新規クラスが使用できない

- S8002091：tools/launcher/ToolsOpts.java のテストが、Windows の 7u11 b01 以来失敗するようになった

- S8002114：JDK-7160951 の修正が失敗する：[macosx] ScreenMenuBar を使用する JMenuItem に対し、ActionListener が 2 度呼ばれる

- S8002225：（tz）tzdata2012i をサポートします

- S8003402：（dc）test/java/nio/channels/DatagramChannel/SendToUnresovled
 7u11 のクリーンアップの問題後、java が失敗します

- S8003403：7u11 のクリーンアップ後、ShortRSAKeyWithinTLS および ClientJSSEServerJSSE のテストが失敗します

- S8003948：NTLM/Negotiate の認証問題

- S8004175：java.security に追加された限定パッケージが java.security-{macosx、solaris、windows} に入っていない

- S8004302：javax/xml/soap/Test7013971.java が jdk6u39b01 以降失敗します

- S8004341：2 つの JCK テストが 7u11 b06 がある場合に失敗します

- S8005615：Java Logger が tomcat ロガーの実装（JULI）をロードすることに失敗します

- バグ修正

- もう一度全てのパッチが適用されるように、Zero のホットスポットを使うビルドを修正

- PR1295：jamvm パラレルのアンパックが失敗します

- icedtea-2.3.2-fix-extract-jamvm-dependency.patch を削除

- icedtea-2.3.3-refresh-6924259-string_offset.patch を削除

- 一部 /openjdk/%{origin}/ の変更が欠落

This version of Oracle (formerly Sun) Java SE or Java for Business installed on the remote host is 7 Update 11 or earlier and is, therefore, potentially affected by security issues in the following components :

 - 2D

  - AWT

  - Beans

  - CORBA

  - Deployment

  - Install

  - JavaFX

  - JAXP

  - JAX-WS

  - JMX

  - JSSE

  - Libraries

  - Networking

  - RMI

  - Scripting

  - Sound

ID	Name	Product	Family	Published	Updated	Severity
64520	RHEL 5 / 6：java-1.7.0-openjdk（RHSA-2013:0247）	Nessus	Red Hat Local Security Checks	2/10/2013	5/25/2022	critical
70744	IBM Notes 8.5.x < 8.5.3 FP5 の複数の脆弱性	Nessus	Windows	11/4/2013	5/25/2022	critical
76303	GLSA-201406-32：IcedTea JDK：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	6/30/2014	12/5/2022	critical
64537	CentOS 5 / 6：java-1.7.0-openjdk（CESA-2013:0247）	Nessus	CentOS Local Security Checks	2/11/2013	5/25/2022	critical
64700	Mac OS X：Java for OS X 2013-001	Nessus	MacOS X Local Security Checks	2/20/2013	11/27/2023	critical
74907	openSUSE Security 更新：java-1_7_0-openjdk（openSUSE-SU-2013:0377-1）	Nessus	SuSE Local Security Checks	6/13/2014	5/25/2022	critical
6685	Oracle Java SE 7 <= Update 11 Multiple Vulnerabilities (February 2013 CPU)	Nessus Network Monitor	Web Clients	2/6/2012	3/6/2019	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical