java-1.8.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのRMIとHotspotのコンポーネントに複数の欠陥が発見されました。信頼できないJavaアプリケーションまたはアプレットがこれらの欠陥を利用して、Javaサンドボックスの制限を完全にバイパスする可能性があります。（CVE-2017-10285、CVE-2017-10346）* OpenJDKのLibrariesコンポーネントのKerberosクライアント実装では、KDC応答メッセージの暗号化部分ではなく、プレーンテキスト部分のsnameフィールドが使用されることがわかりました。中間にいる攻撃者がこの欠陥を使用して、Kerberosクライアントとして機能するJavaアプリケーションでKerberosサービスを偽装する可能性があります。（CVE-2017-10388）* キーストアに格納された秘密鍵を保護する目的に対してOpenJDKのセキュリティコンポーネントが弱いパスワードベースの暗号化キーを生成することがわかりました。これにより、攻撃者がキーストアにアクセスできるようになった場合、保管されたキーを解読するためのパスワード推測攻撃を簡単に実行できます。（CVE-2017-10356）* OpenJDKのSmart Card IOコンポーネントに欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2017-10274）* OpenJDKのネットワークコンポーネントのFtpClient実装では、デフォルトで接続タイムアウトと読み取りタイムアウトが設定されないことがわかりました。悪意のあるFTPサーバーや中間にいる攻撃者が、この欠陥を使用してFTPサーバーに接続するJavaアプリケーションの実行をブロックする可能性があります。（CVE-2017-10355）* OpenJDKのNetworkingコンポーネントのHttpURLConnectionクラスとHttpsURLConnectionクラスでURLに埋め込まれた改行文字を確認できないことがわかりました。Javaアプリケーションを作成できる攻撃者が自ら用意したURLを使用してHTTPリクエストを実行し、リクエストに追加のヘッダーを挿入する可能性があります。（CVE-2017-10295）* OpenJDKのJAXP、Serialization、Libraries、JAX-WSコンポーネントの複数のクラスで、シリアル化されたフォームからオブジェクトインスタンスを作成するときに割り当てられるメモリの量が制限されないことがわかりました。特別に細工された入力があると、Javaアプリケーションは逆シリアル化時に過剰な量のメモリを使用する可能性があります。（CVE-2017-10349、CVE-2017-10357、CVE-2017-10347、CVE-2017-10281、CVE-2017-10345、CVE-2017-10348、CVE-2017-10350）注意：icedtea-webパッケージで提供されるWebブラウザープラグインがインストールされている場合、ユーザーが悪意のあるWebサイトにアクセスすると、Javaアプレットを介して起こる問題が、ユーザーとのやり取りなしに悪用される可能性があります。

検出

CentOS 6/7：java-1.8.0-openjdk（CESA-2017:2998）

critical Nessus プラグイン ID 104054

バージョン 3.12