証明書のパス制限の不適切な実施：OpenJDKのセキュリティコンポーネントがX.509証明書チェーンの処理用に定義された制限を適切に実施できない可能性があることがわかりました。リモート攻撃者がこの欠陥を利用して、無効化されたアルゴリズムの1つを使用することで、Javaが証明書を受け入れるようにする可能性があります。（CVE-2017-10198）XMLトランスフォーメーションにおけるアクセス制御の確認が不十分（CVE-2017-10096）LambdaFormEditorの範囲の確認が不適切（CVE-2017-10111）AsynchronousChannelGroupImplのアクセス制御の確認が不十分（CVE-2017-10090）キーサイズ制約の確認が不適切（CVE-2017-10193）Range Check Loop述部における整数オーバーフロー（CVE-2017-10074）PKCS#8実装タイミング攻撃：OpenJDKのJCEコンポーネントのPKCS#8実装で隠れタイミングチャンネルの欠陥が見つかりました。JavaアプリケーションにPKCS#8キーと攻撃者が制御する値を繰り返し比較させられるリモートの攻撃者が、この欠陥を利用してタイミングサイドチャンネル経由でキーを設定する可能性があります。（CVE-2017-10135）DGCの参照の処理が不適切：OpenJDKのRMIコンポーネントのDCG実装が、参照を正しく処理できないことがわかりました。リモートの攻撃者がこの欠陥を利用して、RMIレジストリまたはJava RMIアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2017-10102）ImageWatchedのアクセス制御の確認が不十分（CVE-2017-10110）com.sun.org.apache.xml.internal.resolverへの無制限アクセス（CVE-2017-10101）DSA実装タイミング攻撃：OpenJDKのJCEコンポーネントのDSA実装に、隠れたタイミングチャンネルの欠陥が見つかりました。要求に応じてJavaアプリケーションでDSA証明書を生成できるリモートの攻撃者が、この欠陥を利用してタイミングサイドチャンネル経由で使用されているキーに関する特定の情報を抽出する可能性があります。（CVE-2017-10115）ActivationIDのアクセス制御の確認が不十分（CVE-2017-10107）LDAPCertStoreがLDAP以外のURLへの紹介に続く：OpenJDKのセキュリティコンポーネントのLDAPCertStoreクラスが、任意のURLへのLDAP紹介に続いていることがわかりました。特別に細工されたLDAP URLにより、LDAPCertStoreがLDAP以外のサーバーと通信する可能性があります。（CVE-2017-10116）JARベリファイアがダイジェストのないファイルを不適切に処理（CVE-2017-10067）JPEGImageReaderで未処理のイメージデータを読み取る：OpenJDKの2DコンポーネントのJPEGImageReaderの実装は、後で使用されなくてもすべてのイメージデータを読み取る場合があることがわかりました。特別に細工された画像により、Javaアプリケーションが一時的に過剰な量のCPUとメモリを使用する可能性があります。（CVE-2017-10053）CodeSourceの逆シリアル化で無制限メモリ割り当て（CVE-2017-10109）BasicAttributeの逆シリアル化の無制限メモリ割り当て（CVE-2017-10108）

検出

Amazon Linux AMI：java-1.8.0-openjdk（ALAS-2017-860）

critical Nessus プラグイン ID 101958

変更ログが見つかりません