IBM Java 5 が SR 16 FP 6 に更新され、いくつかのバグとセキュリティ問題が修正されました。

詳細については、以下を参照してください：
https://www.ibm.com/developerworks/java/jdk/aix/j532/fixes.html#SR16FP6

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートの Redhat Enterprise Linux 6 ホストに、RHSA-2014:0406 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    java-1.7.0-openjdk パッケージには、OpenJDK 7 Java Runtime Environment および OpenJDK 7 Java ソフトウェア開発キットが含まれています。

    2D コンポーネント内の medialib ライブラリで、入力検証の欠陥が発見されました。特別に細工された画像が処理されると、Java 仮想マシンのメモリ破損を誘発することがあります。リモートの攻撃者、または信用できない Java アプリケーションやアプレットは、この欠陥を悪用して、Java 仮想マシンを実行しているユーザーの権限で、任意のコードを実行する可能性があります。
    (CVE-2014-0429)

    OpenJDK 内のホットスポットおよび 2D コンポーネントで、複数の欠陥が発見されました。
    信頼できない Java アプリケーションやアプレットは、これらの欠陥を利用して、Java 仮想マシンのメモリ破損を発生させることや、Java サンドボックスの制限をバイパスする可能性があります。(CVE-2014-0456、CVE-2014-2397、CVE-2014-2421)

    OpenJDK でのライブラリコンポーネントに、複数の不適切な権限チェックの問題が見つかりました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。(CVE-2014-0457、CVE-2014-0455、CVE-2014-0461)

    OpenJDK 内の AWT、JAX-WS、JAXB、ライブラリ、セキュリティ、サウンド、および 2D のコンポーネントで、複数の不適切な権限チェックの問題が発見されました。
    信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。(CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-2402、CVE-2014-0446、CVE-2014-2413、CVE-2014-0454、CVE-2014-2427、CVE-2014-0459)

    Java Naming およびディレクトリインターフェース（JNDI）DNS クライアントで複数の欠陥が発見されました。これらの欠陥により、リモートの攻撃者は、DNS なりすまし攻撃をより簡単に仕掛ける可能性があります。(CVE-2014-0460)

    SecurityManager が実在する場合、JAXP コンポーネントは、任意のファイルへのアクセスを適切に阻止していないことが判明しました。この欠陥により、JAXP を使用している Java アプリケーションに機密情報を漏洩させることや、アプリケーションの可用性に影響を与える可能性があります。(CVE-2014-2403)

    OpenJDK 内のセキュリティコンポーネントが、PKCS#1のパディング解除を実行している際に、一部のタイミング情報を漏洩する可能性があることが判明しました。これにより、暗号化で保護されることになっていた一部の情報が漏洩される可能性があります。(CVE-2014-0453)

    CVE-2013-5797 の修正で、javadoc の入力サニタイズの欠陥が適切に解決されていないことが判明しました。javadoc 文書が、信頼できない Java ソースコードから生成され、さらにコードの作者が管理していないドメインでホストされていた場合、これらの問題により、クロスサイトスクリプティング (XSS) 攻撃をより簡単に仕掛ける可能性があります。(CVE-2014-2398)

    unpack200 ユーティリティがログファイルを作成する方法で、安全ではない一時ファイルの使用に欠陥が見つかりました。ローカルの攻撃者は、この欠陥を利用して、シンボリックリンク攻撃を仕掛けたり、unpack200 を実行しているユーザーの権限で、任意のファイルを上書きしたりする可能性があります。(CVE-2014-1876)

    注意: icedtea-web パッケージで提供されるウェブブラウザプラグインがインストールされている場合、ユーザーが悪意のあるウェブサイトにアクセスすると、Java アプレットにより引き起こされる問題が、ユーザーとのやり取りなしに悪用される可能性があります。

    java-1.7.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

複数のセキュリティ問題を修正する更新済みの java-1.7.0-oracle パッケージが、 Red Hat Enterprise Linux 5、6 Supplementary で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Oracle Java SE バージョン 7 には、Oracle Java Runtime Environment および Oracle Java ソフトウェア開発キットが含まれています。

この更新では、Oracle Java Runtime Environment および Oracle Java ソフトウェア開発キットのいくつかの脆弱性が修正されます。これらの欠陥の詳細については、Oracle Java SE Critical Patch Update アドバイザリページの「参照」セクションを参照してください。
（CVE-2013-6629、CVE-2013-6954、CVE-2014-0429、CVE-2014-0432、CVE-2014-0446、CVE-2014-0448、CVE-2014-0449、CVE-2014-0451、CVE-2014-0452、CVE-2014-0453、CVE-2014-0454、CVE-2014-0455、CVE-2014-0456、CVE-2014-0457、CVE-2014-0458、CVE-2014-0459、CVE-2014-0460、CVE-2014-0461、CVE-2014-1876、CVE-2014-2397、CVE-2014-2398、CVE-2014-2401、CVE-2014-2402、CVE-2014-2403、CVE-2014-2409、CVE-2014-2412、CVE-2014-2413、CVE-2014-2414、CVE-2014-2420、CVE-2014-2421、CVE-2014-2422、CVE-2014-2423、CVE-2014-2427、CVE-2014-2428）

java-1.7.0-oracle の全ユーザーは、Oracle Java 7 Update 55 が提供されるこれらの更新済みパッケージへアップグレードし、これらの問題を解決することが推奨されます。この更新を有効にするには、 Oracle Java の実行中のインスタンスをすべて再起動する必要があります。

Oracle Java プラットフォームの実装である OpenJDK にいくつかの脆弱性が見つかり、任意コードの実行、 Java サンドボックスの発生、情報漏洩、またはサービス拒否につながります。

バージョン 2.4.7 に対するこの java-1_7_0-openjdk 更新は、以下のセキュリティ問題と非セキュリティ問題を修正します：

- セキュリティ修正

- S8023046：Splashscreen サポートを強化します

- S8025005：CORBA 初期化を強化します

- S8025010、CVE-2014-2412：AWT コンテキストを強化します

- S8025030、CVE-2014-2414：ストリーム処理を強化します

- S8025152、CVE-2014-0458：アクティブ化セットアップを強化します

- S8026067：符号付き jar 検証を強化します

- S8026163、CVE-2014-2427：メディアプロビジョニングを強化します

- S8026188、CVE-2014-2423：エンベロープファクトリを強化します

- S8026200：RowSet Factory を強化します

- S8026716、CVE-2014-2402：（aio）非同期チャネル処理を強化します

- S8026736、CVE-2014-2398：Javadoc ページを強化します

- S8026797、CVE-2014-0451：データ転送を強化します

- S8026801、CVE-2014-0452：エンドポイントアドレス指定を強化します

- S8027766、CVE-2014-0453：RSA 処理を強化します

- S8027775：ICU コードを強化します

- S8027841、CVE-2014-0429：ピクセル操作を強化します

- S8028385：RowSet Factory を強化します

- S8029282、CVE-2014-2403：CharInfo セットアップを強化します

- S8029286：主題委託を強化します

- S8029699：Poller デモを更新します

- S8029730：オーディオデバイス追加を改善します

- S8029735：サービス mgmt ネイティブを強化します

- S8029740、CVE-2014-0446：ロガー処理を強化します

- S8029745、CVE-2014-0454：アルゴリズムチェックを強化します

- S8029750：LCMS カラー処理を強化します（ツリー内 LCMS）

- S8029760、CVE-2013-6629：AWT イメージライブラリを強化します（ツリー内 libjpeg）

- S8029844、CVE-2014-0455：引数検証を強化します

- S8029854、CVE-2014-2421：JPEG デコードを強化します

- S8029858、CVE-2014-0456：配列コピーを強化します

- S8030731、CVE-2014-0460：ネームサービスの堅牢性を向上します

- S8031330：ObjectFactory のリファクタリングを行います

- S8031335、CVE-2014-0459：カラープロファイルの改善（ツリー内 LCMS）

- S8031352、CVE-2013-6954：PNG 処理を強化します（ツリー内 libpng）

- S8031394、CVE-2014-0457：（sl）ServiceLoader の例外処理を修正します

- S8031395：LDAP 処理を強化します

- S8032686、CVE-2014-2413：メソッドの呼び出しに関する問題

- S8033618、CVE-2014-1876：ログ出力を修正します

- S8034926、CVE-2014-2397：クラスの適切な属性

- S8036794、CVE-2014-0461：JavaScript インスタンスを管理します

- バックポート

- S8004145：新たに改善された hgforest.sh、ctrl-c は、mercurial プロセスを正常に終了できるようになりました。

- S8007625：/common/bin/hgforest.sh のネスト化 repos による競合

- S8011178：common/bin/hgforest.sh python 検出を改善します（MacOS）

- S8011342：hgforest.sh：「python --version」は、旧バージョンの Python ではサポートされていません

- S8011350：hgforest.sh は、一部のシェルで失敗する可能性のある POSIX sh 以外の機能を使用します

- S8024200：#! の後のスペースのある hg ラッパーを処理します。

- S8025796：hgforest.sh は、複雑な謀略なしに、hg からバッファされていない出力を発生させる可能性があります

- S8028388：java.lang.ClassCastException を使用したナイトリービルドで、9 つの jaxws テストに失敗しました

- S8031477：[macosx] AWT ネイティブライブラリをロードできません

- S8032370：JPEGImageReader の IIOReadWarningListener からの「切り捨てられたファイル」の警告がありません

- S8035834：InetAddress.getLocalHost()が、JDK-8030731 の修正後にハングアップする可能性があります

- バグ修正

- PR1393：non-system-libjpeg ビルドで、ビルド内の JPEG サポートが破損しています

- PR1726：構成は、javac の検索を試みる前に、ecj.jar を探すことができません

- Red Hat local：/ で始まるパスを持つレポジトリを修正します。

- 使用していない hgforest スクリプトを削除します

いくつかのセキュリティの問題を修正する更新版の java-1.5.0-ibm パッケージが、 Red Hat Enterprise Linux 5 および 6 Supplementary で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

IBM J2SE バージョン 5.0 には、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットが含まれています。

この更新では、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットの複数の脆弱性が修正されます。脆弱性の詳細な説明は、「参照」セクションにリストされている、IBM の『Security alerts』ページからリンクされています。- CVE-2014-0457、CVE-2014-2421、CVE-2014-0429、CVE-2014-0446、CVE-2014-0451、CVE-2014-2427、CVE-2014-2412、CVE-2014-0460、CVE-2013-6629、CVE-2014-2401、CVE-2014-0453、CVE-2014-2398、CVE-2014-1876：

java-1.5.0-ibm の全ユーザーは、IBM J2SE 5.0 SR16-FP6 リリースが含まれるこれらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、IBM Java のすべての実行中のインスタンスを再起動する必要があります。

更新 java-1.7.0-openjdk パッケージは、セキュリティの脆弱性を修正します。

2D コンポーネント内の medialib ライブラリで、入力検証の欠陥が発見されました。特別に細工された画像が処理されると、 Java 仮想マシンのメモリ破損を誘発することがあります。リモートの攻撃者、または信頼できない Java アプリケーションやアプレットは、この欠陥を利用して、Java 仮想マシンを実行しているユーザーの権限で、任意のコードを実行する可能性があります（CVE-2014-0429）。

OpenJDK 内のホットスポットおよび 2D コンポーネントで、複数の欠陥が発見されました。信頼できない Java アプリケーションやアプレットは、これらの欠陥を利用して、Java 仮想マシンのメモリ破損を発生させることや、Java サンドボックスの制限をバイパスする可能性があります（CVE-2014-0456、CVE-2014-2397、CVE-2014-2421）。

OpenJDK のライブラリコンポーネントに、複数の不適切な権限チェックの問題が見つかりました。信頼できない Java アプリケーションまたは Java アプレットは、これらの欠陥を利用して、Java サンドボックスの制限をバイパスすることがあります（CVE-2014-0457、CVE-2014-0455、CVE-2014-0461）。

OpenJDK 内の AWT、JAX-WS、JAXB、ライブラリ、セキュリティ、サウンド、および 2D のコンポーネントで、複数の不適切な権限チェックの問題が発見されました。信頼できない Java アプリケーションまたは Java アプレットは、これらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります（CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-2402、CVE-2014-0446、CVE-2014-2413、CVE-2014-0454、CVE-2014-2427、CVE-2014-0459）。

Java Naming および ディレクトリインターフェイス（JNDI）DNS クライアントで複数の欠陥が発見されました。これらの欠陥により、リモートの攻撃者は、DNS なりすまし攻撃をより簡単に仕掛ける可能性があります（CVE-2014-0460）。

SecurityManager が実在する場合、JAXP コンポーネントは、任意のファイルへのアクセスを適切に阻止していないことが判明しました。この欠陥により、JAXP を使用している Java アプリケーションに機密情報を漏洩させることや、アプリケーションの可用性に影響を与える可能性があります（CVE-2014-2403）。

OpenJDK 内のセキュリティコンポーネントが、PKCS#1 のパディング解除を実行している際に、一部のタイミング情報を漏洩する可能性があることが判明しました。これにより、暗号化で保護されることになっていた一部の情報が漏洩される可能性があります（CVE-2014-0453）。

CVE-2013-5797 の修正で、javadoc の入力サニタイズの欠陥が適切に解決されていないことが判明しました。javadoc 文書が、信頼できない Java ソースコードから生成され、さらにコードの作者が管理していないドメインでホストされていた場合、これらの問題により、クロスサイトスクリプティング（XSS）攻撃をより簡単に仕掛ける可能性があります（CVE-2014-2398）。

unpack200 ユーティリティがログファイルを作成する方法で、安全ではない一時ファイルの使用に欠陥が見つかりました。ローカルの攻撃者は、この欠陥を利用して、シンボリックリンク攻撃を仕掛けたり、unpack200 を実行しているユーザーの権限で、任意のファイルを上書きしたりする可能性があります（CVE-2014-1876）。

注意：CVE-2014-0459 の問題が lcms2 ライブラリにあります。この欠陥を修正するためにパッチが適用されました。

BM Java 6 がバージョン 6 SR16 に更新され、複数のセキュリティ問題とその他の様々なバグが修正されました。

詳細については、次を参照してください：
http://www.ibm.com/developerworks/java/jdk/alerts/

リモートホストにインストールされている VMware vCenter サーバーは、バージョン 5.0 の Update 3c より前、5.1 の Update 3 より前、または 5.5 の Update 2 より前です。
このため、サードパーティライブラリで以下の複数の脆弱性の影響を受けます。

- バンドルされているバージョンの Apache Struts に、コード実行欠陥が含まれています。5.0 Update 3c が対処するのはこの脆弱性のみであることに、注意してください。（CVE-2014-0114）

バンドルされている tc-server / Apache Tomcat に、複数の脆弱性が含まれています。（CVE-2013-4590、CVE-2013-4322、CVE-2014-0050）

バンドルされているバージョンの Oracle JRE は 1.7.0_55 より前です。このため、複数の脆弱性の影響を受けます。これはバージョン 5.5 の vCenter のみに影響することに、注意してください。

リモートホストは、GLSA-201406-32 で説明されている脆弱性の影響を受けます（IcedTea JDK：複数の脆弱性）

複数の脆弱性が IcedTea JDK に発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者がプロセスの権限で任意のコードを実行することにより、サービス拒否状態を引き起こしたり、機密情報を取得したり、セキュリティポリシーをバイパスしたり、その他の詳細不明の影響を与えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	Name	Product	Family	Published	Updated	Severity
83625	SUSE SLES10 セキュリティ更新：IBM Java 1.5.5（SUSE-SU-2014:0732-1）	Nessus	SuSE Local Security Checks	5/20/2015	1/19/2021	critical
73585	RHEL 6 : java-1.7.0-openjdk (RHSA-2014:0406)	Nessus	Red Hat Local Security Checks	4/17/2014	3/20/2025	high
73608	RHEL 5 / 6 : java-1.7.0-oracle（RHSA-2014:0412）	Nessus	Red Hat Local Security Checks	4/18/2014	1/14/2021	critical
73691	Debian DSA-2912-1：openjdk-6 - セキュリティの更新	Nessus	Debian Local Security Checks	4/25/2014	1/11/2021	critical
74007	SuSE 11.3 セキュリティ更新：OpenJDK（SAT パッチ番号 9209）	Nessus	SuSE Local Security Checks	5/14/2014	1/19/2021	critical
74032	RHEL 5 / 6：java-1.5.0-ibm（RHSA-2014:0509）	Nessus	Red Hat Local Security Checks	5/16/2014	1/14/2021	critical
74078	Mandriva Linux セキュリティアドバイザリ：java-1.7.0-openjdk（MDVSA-2014:100）	Nessus	Mandriva Local Security Checks	5/19/2014	1/6/2021	critical
74284	SuSE 11.3 セキュリティ更新：IBM Java 6（SAT パッチ番号 9256）	Nessus	SuSE Local Security Checks	6/3/2014	1/19/2021	critical
77728	vCenter サーバー用の VMware セキュリティ更新（VMSA-2014-0008）	Nessus	Misc.	9/17/2014	11/15/2018	critical
76303	GLSA-201406-32：IcedTea JDK：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	6/30/2014	12/5/2022	critical

Detections

Analytics

Plugins Search

critical

high

critical

critical

critical

critical

critical

critical

critical

critical