Oracle Linux 6/7:java-1.7.0-openjdk(ELSA-2017-3392)

critical Nessus プラグイン ID 105068

概要

リモートのOracle Linuxホストに、1つ以上のセキュリティ更新がありません。

説明

出典: Red Hatセキュリティアドバイザリ2017:3392:java-1.7.0-openjdkの更新がRed Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS(共通脆弱性評価システム)ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム:* OpenJDKのRMIとHotspotのコンポーネントに複数の欠陥が発見されました。信頼できないJavaアプリケーションまたはアプレットがこれらの欠陥を利用して、Javaサンドボックスの制限を完全にバイパスする可能性があります。(CVE-2017-10285、CVE-2017-10346)* OpenJDKのLibrariesコンポーネントのKerberosクライアント実装では、KDC応答メッセージの暗号化部分ではなく、プレーンテキスト部分のsnameフィールドが使用されることがわかりました。中間にいる攻撃者がこの欠陥を使用して、Kerberosクライアントとして機能するJavaアプリケーションでKerberosサービスを偽装する可能性があります。(CVE-2017-10388)* キーストアに格納された秘密鍵を保護する目的に対してOpenJDKのセキュリティコンポーネントが弱いパスワードベースの暗号化キーを生成することがわかりました。これにより、攻撃者がキーストアにアクセスできるようになった場合、保管されたキーを解読するためのパスワード推測攻撃を簡単に実行できます。(CVE-2017-10356)* OpenJDKのスマートカードIOおよびセキュリティコンポーネントに複数の欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこれらの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。(CVE-2017-10274、CVE-2017-10193)* OpenJDKのネットワークコンポーネントのFtpClient実装では、デフォルトで接続タイムアウトと読み取りタイムアウトが設定されないことがわかりました。悪意のあるFTPサーバーや中間にいる攻撃者が、この欠陥を使用してFTPサーバーに接続するJavaアプリケーションの実行をブロックする可能性があります。(CVE-2017-10355)* OpenJDKのNetworkingコンポーネントのHttpURLConnectionクラスとHttpsURLConnectionクラスでURLに埋め込まれた改行文字を確認できないことがわかりました。Javaアプリケーションを作成できる攻撃者が自ら用意したURLを使用してHTTPリクエストを実行し、リクエストに追加のヘッダーを挿入する可能性があります。(CVE-2017-10295)* OpenJDKのセキュリティコンポーネントがX.509証明書チェーンの処理用に定義された制限を適切に実施できない可能性があることがわかりました。リモート攻撃者がこの欠陥を利用して、無効化されたアルゴリズムの1つを使用することで、Javaが証明書を受け入れるようにする可能性があります。(CVE-2017-10198)* OpenJDKのJAXP、シリアル化、ライブラリ、JAX-WSコンポーネントの複数のクラスで、シリアル化されたフォームからオブジェクトインスタンスを作成するときに割り当てられるメモリの量が制限されないことがわかりました。特別に細工された入力があると、Javaアプリケーションは逆シリアル化時に過剰な量のメモリを使用する可能性があります。(CVE-2017-10349、CVE-2017-10357、CVE-2017-10347、CVE-2017-10281、CVE-2017-10345、CVE-2017-10348、CVE-2017-10350)バグ修正プログラム:* 以前は、OpenJDKは、ソケットのポーリングで読み込み可能と示されていても、読み込みでカーネルがブロックされた場合の状況を処理できませんでした。その結果、OpenJDKは無期限にハングする可能性がありました。この更新プログラムにより、OpenJDKはタイムアウトを使用してポーリングし、成功するとノンブロッキングの読み込みを行い、これらの状況でハングしなくなります。(BZ#1508357)

ソリューション

影響を受けるjava-1.7.0-openjdkパッケージを更新してください。

参考資料

https://oss.oracle.com/pipermail/el-errata/2017-December/007401.html

https://oss.oracle.com/pipermail/el-errata/2017-December/007402.html

プラグインの詳細

深刻度: Critical

ID: 105068

ファイル名: oraclelinux_ELSA-2017-3392.nasl

バージョン: 3.8

タイプ: local

エージェント: unix

公開日: 2017/12/7

更新日: 2021/1/14

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.3

CVSS v2

リスクファクター: Medium

Base Score: 6.8

Temporal Score: 5.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS v3

リスクファクター: Critical

Base Score: 9.6

Temporal Score: 8.6

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:oracle:linux:java-1.7.0-openjdk, p-cpe:/a:oracle:linux:java-1.7.0-openjdk-accessibility, p-cpe:/a:oracle:linux:java-1.7.0-openjdk-demo, p-cpe:/a:oracle:linux:java-1.7.0-openjdk-devel, p-cpe:/a:oracle:linux:java-1.7.0-openjdk-headless, p-cpe:/a:oracle:linux:java-1.7.0-openjdk-javadoc, p-cpe:/a:oracle:linux:java-1.7.0-openjdk-src, cpe:/o:oracle:linux:6, cpe:/o:oracle:linux:7

必要な KB アイテム: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2017/12/6

脆弱性公開日: 2017/8/8

参照情報

CVE: CVE-2017-10193, CVE-2017-10198, CVE-2017-10274, CVE-2017-10281, CVE-2017-10285, CVE-2017-10295, CVE-2017-10345, CVE-2017-10346, CVE-2017-10347, CVE-2017-10348, CVE-2017-10349, CVE-2017-10350, CVE-2017-10355, CVE-2017-10356, CVE-2017-10357, CVE-2017-10388

RHSA: 2017:3392