遠端主機受到 GLSA-201406-32 中所述的弱點影響 (IcedTea JDK：多個弱點)

在 IcedTea JDK 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形、取得敏感資訊、繞過預定的安全性原則，或造成其他不明影響。
 因應措施：

目前尚無已知的因應措施。

IBM Java 1.4.2 は、バグとセキュリティ問題を修正する SR13 FP13 に、更新されています。

http://www.ibm.com/developerworks/java/jdk/alerts/

次のバグも修正されています：

- 修正 bnc#666744：全ての構成ファイルを %config(noreplace) としてマークします

IBM Java 1.5.0 は、バグとセキュリティ問題を修正する SR14 に更新されました。

http://www.ibm.com/developerworks/java/jdk/alerts/

以下の 3 つのバグも修正されています：

- 修正 bnc#771808：シンボリックリンク /usr/bin/javaws を適切に作成します

- 修正 bnc#666744：全ての構成ファイルを %config(noreplace) としてマークします

- 修正 bnc#773021：フォントシンボリックリンクを削除するコードを baselibs.conf に追加します

複数のセキュリティ問題を修正する更新済みの java-1.4.2-openjdk パッケージが、 Red Hat Enterprise Linux 5 で利用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

IBM J2SE バージョン 1.4.2 には IBM Java Runtime Environment および IBM Java ソフトウェア開発キットが含まれています。

この更新では、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットの複数の脆弱性が修正されます。脆弱性の詳細な説明は、「参照」セクションにリストされている、IBM の『Security alerts』ページからリンクされています。（CVE-2012-1713、CVE-2012-1717、CVE-2012-1718、 CVE-2012-1719）

java-1.4.2-ibm の全ユーザーは、IBM J2SE 1.4.2 SR13-FP13 リリースが含まれるこれらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、IBM Java のすべての実行中のインスタンスを再起動する必要があります。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2012:1289 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenJDK: AWT 強化修正 (AWT、7163201) (CVE-2012-0547)

  - Oracle JDK: 6u33 および 7u5 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2012-0551、CVE-2012-1721、CVE-2012-1722)

  - OpenJDK: beans ClassFinder の不十分な権限チェック (beans、7162476) (CVE-2012-1682)

  - OpenJDK: フォントマネージャーのレイアウト検索コードのメモリ破損 (2D、7143617) (CVE-2012-1713)

  - OpenJDK: SynthLookAndFeel アプリケーションコンテキストのバイパス (Swing、7143614) (CVE-2012-1716)

  - OpenJDK: 安全でない一時ファイルの権限 (JRE、7143606) (CVE-2012-1717)

  - OpenJDK: 生成されたスタブコードにおける変更可能なリポジトリ識別子 (CORBA、7143851) (CVE-2012-1719)

  - OpenJDK: 不十分な invokespecial <init> 検証 (ホットスポット、7160757) (CVE-2012-1725)

  - OpenJDK: java.lang.invoke.MethodHandles.Lookup がアクセスモードを遵守しません (Libraries、7165628) (CVE-2012-1726)

  - OpenJDK: beans MethodElementHandler の不十分な権限チェック (beans、7194567) (CVE-2012-3136)

  - OpenJDK: beans の不十分な権限チェック、Java 7 0day (beans、7162473) (CVE-2012-4681)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

IBM Java 1.7.0 は、重要なセキュリティ問題を修正するため、SR2 に更新されました。

複数のセキュリティ問題を修正する、更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。

Java による CORBA（共通オブジェクトリクエストブローカーアーキテクチャ）実装で複数の欠陥が見つかりました。悪意ある Java アプリケーションやアプレットが、これらの欠陥を利用して、Java サンドボックスの制限をバイパスしたり、変更不可のオブジェクトデータを変更する可能性があります。（CVE-2012-1711、CVE-2012-1719）

Swing の SynthLookAndFeel クラスが、現在のアプリケーションコンテキスト外からの特定の UI 要素へのアクセスを適切に阻止していないことが判明しました。Java アプリケーションやアプレットがこの欠陥を利用することで、Java 仮想マシンのクラッシュを引き起こしたり、Java サンドボックスの制限をバイパスする可能性があります。（CVE-2012-1716）

フォントマネージャのレイアウト検索実装で複数の欠陥が発見されました。特別に細工されたフォントファイルにより、Java 仮想マシンがクラッシュしたり、仮想マシンを実行しているユーザーの権限で任意のコードが実行される可能性があります。（CVE-2012-1713）

Java HotSpot 仮想マシンが、実行するクラスファイルのバイトコードを検証する方法で、複数の欠陥が見つかりました。特別に細工された Java アプリケーションやアプレットが、これらの欠陥を利用することで、Java 仮想マシンのクラッシュを引き起こしたり、Java サンドボックスの制限をバイパスする可能性があります。
（CVE-2012-1723、CVE-2012-1725）

Java XML パーサーが特定の XML ドキュメントを適切に処理しないことが判明しました。特別に細工された XML ファイルを Java アプリケーションに解析させることのできる攻撃者が、この欠陥を利用して、XML パーサーを無限ループに陥らす可能性があります。（CVE-2012-1724）

Java セキュリティクラスが証明書失効リスト（CRL）を適切に処理しないことが判明しました。重複証明書のシリアル番号のあるエントリを含む CRL が無視される可能性があります。
（CVE-2012-1718）

さまざまなクラスの Java Runtime ライブラリが、安全でない権限で一時ファイルを作成する可能性があることが判明しました。ローカル攻撃者が、この欠陥を利用して、このような一時ファイルのコンテンツへアクセスできるようになる可能性があります。（CVE-2012-1717）

また、このエラータは、OpenJDK パッケージを IcedTea6 1.10.8 にアップグレードします。
詳細については、「参照」にリンクがある NEWS ファイルを参照してください。

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

OpenJDK の CORBA（Common Object Request Broker Architecture）の実装に複数の欠陥が存在することが発見されました。攻撃者が、Java アプリケーションまたはアプレットを作成して、これらの欠陥を利用し、Java サンドボックスの制限をバイパスしたり、不変のオブジェクトデータを改竄したりする可能性があります。（CVE-2012-1711、CVE-2012-1719）

複数の欠陥が　OpenJDK FontManager のレイアウト検索の実装に存在することが判明しました。攻撃者が、特別に細工されたフォントファイルを用意して、JVM（Java 仮想マシン）をクラッシュすることによりサービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。（CVE-2012-1713）

OpenJDK の Swing の SynthLookAndFeel クラスが、現在のアプリケーションコンテキスト外からの特定の UI 要素へのアクセスを適切に阻止していないことが判明しました。攻撃者がこの欠陥を利用する Java のアプリケーションまたはアプレットを作成し、JVM をクラッシュすることによりサービス拒否を引き起こしたり、Java サンドボックス制限をバイパスしたりする可能性があります。
（CVE-2012-1716）

安全でない権限で、OpenJDK ランタイムライブラリクラスが一時ファイルを作成する可能性があることが判明しました。ローカルの攻撃者が、これを利用して、機密情報にアクセスする可能性があります。（CVE-2012-1717）

OpenJDK が CRL（証明書失効リスト）を適切に処理していないことが判明しました。リモートの攻撃者が、これを利用して、機密情報にアクセスする可能性があります。（CVE-2012-1718）

OpenJDK のホットスポット仮想マシンが実行するクラスのバイトコードを適切に検証していないことが判明しました。リモートの攻撃者がこれを利用する Java のアプリケーションまたはアプレットを作成し、JVM をクラッシュすることによりサービス拒否を引き起こしたり、Java サンドボックス制限をバイパスしたりする可能性があります。（CVE-2012-1723、CVE-2012-1725）

OpenJDK XML（Extensible Markup Language）パーサーが一部の XML ドキュメントを適切に処理しないことが判明しました。攻撃者が、XML ドキュメントを作成し、ドキュメントを解析する Java のアプリケーションまたはアプレットでサービス拒否を引き起こす可能性があります。（CVE-2012-1724）

この更新の一部として、IcedTea Web ブラウザアプレットプラグインが Ubuntu 10.04 LTS、Ubuntu 11.04、Ubuntu 11.10 に対して更新されました。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。

Java による CORBA（共通オブジェクトリクエストブローカーアーキテクチャ）実装で複数の欠陥が見つかりました。悪意ある Java アプリケーションやアプレットが、これらの欠陥を利用して、Java サンドボックスの制限をバイパスしたり、変更不可のオブジェクトデータを変更する可能性があります。（CVE-2012-1711、CVE-2012-1719）

Swing の SynthLookAndFeel クラスが、現在のアプリケーションコンテキスト外からの特定の UI 要素へのアクセスを適切に阻止していないことが判明しました。Java アプリケーションやアプレットがこの欠陥を利用することで、Java 仮想マシンのクラッシュを引き起こしたり、Java サンドボックスの制限をバイパスする可能性があります。（CVE-2012-1716）

フォントマネージャのレイアウト検索実装で複数の欠陥が発見されました。特別に細工されたフォントファイルにより、Java 仮想マシンがクラッシュしたり、仮想マシンを実行しているユーザーの権限で任意のコードが実行される可能性があります。（CVE-2012-1713）

Java HotSpot 仮想マシンが、実行するクラスファイルのバイトコードを検証する方法で、複数の欠陥が見つかりました。特別に細工された Java アプリケーションやアプレットが、これらの欠陥を利用することで、Java 仮想マシンのクラッシュを引き起こしたり、Java サンドボックスの制限をバイパスする可能性があります。
（CVE-2012-1723、CVE-2012-1725）

Java XML パーサーが特定の XML ドキュメントを適切に処理しないことが判明しました。特別に細工された XML ファイルを Java アプリケーションに解析させることのできる攻撃者が、この欠陥を利用して、XML パーサーを無限ループに陥らす可能性があります。（CVE-2012-1724）

Java セキュリティクラスが証明書失効リスト（CRL）を適切に処理しないことが判明しました。重複証明書のシリアル番号のあるエントリを含む CRL が無視される可能性があります。
（CVE-2012-1718）

さまざまなクラスの Java Runtime ライブラリが、安全でない権限で一時ファイルを作成する可能性があることが判明しました。ローカル攻撃者が、この欠陥を利用して、このような一時ファイルのコンテンツへアクセスできるようになる可能性があります。（CVE-2012-1717）

また、このエラータは、OpenJDK パッケージを IcedTea6 1.10.8 にアップグレードします。

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

The version of VMware vCenter Update Manager installed on the remote Windows host is 4.0 earlier than Update 4a, or 4.1 earlier than Update 3. Such versions use a version of the Oracle JRE 1.5 that is affected by multiple vulnerabilities.

リモートの Oracle Linux 6 ホストに、ELSA-2012-0729 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    [1:1.6.0.0-1.48.1.11.3]
    - gnome bridge jar にアクセスすると、644 のアクセス許可が強制されます
    - 解決: rhbz#828751

    [1:1.6.0.0-1.47.1.11.3]
    - 変更済み patch3、java-1.6.0-openjdk-java-access-bridge-security.patch:
      - com.sun.org.apache.xerces.internal.utils.,com.sun.org.apache.xalan.internal.utils。
      - パッケージは package.definition にも追加されています
    - 解決: rhbz#828751

    [1:1.6.0.0-1.46.1.11.3]
    - 6.3 との同期: 
    - IcedTea6 への更新 1.11.3
    - patch8 を削除 - java-1.6.0-openjdk-jirafix_2820_2821.patch
    - patch7 を含む - java-1.6.0-openjdk-jstack.patch
    - patch3 を含む、java-1.6.0-openjdk-java-access-bridge-security.patch 修正
    - 解決: rhbz#828751

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Red Hat セキュリティアドバイザリ 2012:0730 から：

複数のセキュリティ問題を修正する、更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。

Java による CORBA（共通オブジェクトリクエストブローカーアーキテクチャ）実装で複数の欠陥が見つかりました。悪意ある Java アプリケーションやアプレットが、これらの欠陥を利用して、Java サンドボックスの制限をバイパスしたり、変更不可のオブジェクトデータを変更する可能性があります。（CVE-2012-1711、 CVE-2012-1719）

Swing の SynthLookAndFeel クラスが、現在のアプリケーションコンテキスト外からの特定の UI 要素へのアクセスを適切に阻止していないことが判明しました。Java アプリケーションやアプレットがこの欠陥を利用することで、Java 仮想マシンのクラッシュを引き起こしたり、Java サンドボックスの制限をバイパスする可能性があります。(CVE-2012-1716)

フォントマネージャのレイアウト検索実装で複数の欠陥が発見されました。特別に細工されたフォントファイルにより、Java 仮想マシンがクラッシュしたり、仮想マシンを実行しているユーザーの権限で任意のコードが実行される可能性があります。(CVE-2012-1713)

Java HotSpot 仮想マシンが、実行するクラスファイルのバイトコードを検証する方法で、複数の欠陥が見つかりました。特別に細工された Java アプリケーションやアプレットが、これらの欠陥を利用することで、Java 仮想マシンのクラッシュを引き起こしたり、Java サンドボックスの制限をバイパスする可能性があります。
（CVE-2012-1723、 CVE-2012-1725）

Java XML パーサーが特定の XML ドキュメントを適切に処理しないことが判明しました。特別に細工された XML ファイルを Java アプリケーションに解析させることのできる攻撃者が、この欠陥を利用して、XML パーサーを無限ループに陥らす可能性があります。(CVE-2012-1724)

Java セキュリティクラスが証明書失効リスト（CRL）を適切に処理しないことが判明しました。重複証明書のシリアル番号のあるエントリを含む CRL が無視される可能性があります。
(CVE-2012-1718)

さまざまなクラスの Java Runtime ライブラリが、安全でない権限で一時ファイルを作成する可能性があることが判明しました。ローカル攻撃者が、この欠陥を利用して、このような一時ファイルのコンテンツへアクセスできるようになる可能性があります。(CVE-2012-1717)

また、このエラータは、OpenJDK パッケージを IcedTea6 1.10.8 にアップグレードします。
詳細については、「参照」にリンクがある NEWS ファイルを参照してください。

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

リモートホストは、GLSA-201401-30（Oracle JRE/JDK：複数の脆弱性）で説明されている脆弱性の影響を受けます

複数の脆弱性が Oracle Java の実装で報告されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

認証されていないリモートの攻撃者がこれらの脆弱性を悪用して、任意のコードを実行する可能性があります。
 さらに、ローカルまたはリモートの攻撃者がこれらの脆弱性を悪用して、任意のコード実行を含む、詳細不明な影響を及ぼす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

リモートホストは、GLSA-201406-32 で説明されている脆弱性の影響を受けます（IcedTea JDK：複数の脆弱性）

複数の脆弱性が IcedTea JDK に発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者がプロセスの権限で任意のコードを実行することにより、サービス拒否状態を引き起こしたり、機密情報を取得したり、セキュリティポリシーをバイパスしたり、その他の詳細不明の影響を与えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名稱	產品	系列	已發布	已更新	嚴重性
76303	GLSA-201406-32：IcedTea JDK：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical
62116	SuSE 10 セキュリティ更新：IBM Java（ZYPP パッチ番号 8281）	Nessus	SuSE Local Security Checks	2012/9/17	2021/1/19	critical
62177	SuSE 10 セキュリティ更新：IBM Java（ZYPP パッチ番号 8283）	Nessus	SuSE Local Security Checks	2012/9/18	2021/1/19	critical
64056	RHEL 5：java-1.4.2-ibm（RHSA-2012:1243）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
62196	RHEL 6 : java-1.7.0-ibm (RHSA-2012:1289)	Nessus	Red Hat Local Security Checks	2012/9/19	2024/4/21	critical
64170	SuSE 11.2 セキュリティ更新：IBM Java（SAT パッチ番号 6839）	Nessus	SuSE Local Security Checks	2013/1/25	2022/3/8	critical
59481	CentOS 5：java-1.6.0-openjdk（CESA-2012:0730）	Nessus	CentOS Local Security Checks	2012/6/14	2022/3/8	critical
59964	Ubuntu 10.04 LTS/11.04/11.10/12.04 LTS：icedtea-web、openjdk-6 の脆弱性（USN-1505-1）	Nessus	Ubuntu Local Security Checks	2012/7/13	2022/3/8	critical
61328	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の java-1.6.0-openjdk	Nessus	Scientific Linux Local Security Checks	2012/8/1	2022/3/8	critical
66909	VMware vCenter Update Manager の複数の脆弱性（VMSA-2012-0013）	Nessus	Windows	2013/6/17	2022/3/8	critical
68541	Oracle Linux 6：java-1.6.0-openjdk（ELSA-2012-0729）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	critical
68542	Oracle Linux 5：java-1.6.0-openjdk（ELSA-2012-0730）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
72139	GLSA-201401-30：Oracle JRE/JDK：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/1/27	2025/6/10	critical
76303	GLSA-201406-32：IcedTea JDK：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	2014/6/30	2022/12/5	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical