検出

Amazon Linux AMI：java-1.8.0-openjdk（ALAS-2018-949）

high Nessus プラグイン ID 106694

Language:

概要

リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。

説明

SingleEntryRegistryにおける逆シリアル化フィルターの不適切な設定（JMX、8186998）：OpenJDKのJMXコンポーネントが、特定の場合にSingleEntryRegistryの逆シリアル化フィルターを適切に設定できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、目的の逆シリアル化制限をバイパスする可能性があります。（CVE-2018-2637）信頼できない場所からのクラスの読み込み（I18n、8182601）：OpenJDKのI18nコンポーネントが、リソースバンドルクラスを読み込むときに、信頼できない検索パスを使用する可能性があることがわかりました。ローカルの攻撃者がこの欠陥を使用して、Javaアプリケーションに攻撃者が制御するクラスファイルを読み込ませることで別のローカルユーザーとして任意のコードを実行する可能性があります。（CVE-2018-2602）LdapLoginModuleによるLDAPクエリでの不十分なユーザー名のコード化（LDAP、8178449）：OpenJDKのLDAPコンポーネントが、LDAP検索クエリに特殊文字を追加するときに、ユーザー名の特殊文字を適切にコード化できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、LdapLoginModuleクラスが実行するLDAPクエリを操作する可能性があります。（CVE-2018-2588）不整合状態へのArrayBlockingQueueの逆シリアル化（Libraries、8189284）：Java SE、Java SE Embedded、Oracle Java SEのJRockitコンポーネントの脆弱性（サブコンポーネント：Libraries）。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockitの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、クライアントとサーバーへのJavaの配置が対象です。この脆弱性は、サンドボックス化されたJava Web StartアプリケーションとJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供することでも悪用されます。CVSS 3.0ベーススコア4.3（可用性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：L/PR：N/UI：R/S：U/C：N/I：N/A：L）。（CVE-2018-2663）invokeinterface命令の検証が不十分（Hotspot、8174962）：Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：Hotspot）。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意：この脆弱性は、クライアントとサーバーへのJavaの配置が対象です。この脆弱性は、サンドボックス化されたJava Web StartアプリケーションとJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供することでも悪用されます。CVSS 3.0ベーススコア6.5（整合性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：L/PR：N/UI：R/S：U/C：N/I：H/A：N）（CVE-2018-2582）GTKライブラリ読み込みのメモリ解放後使用（Use After Free）（AWT、8185325）：Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：AWT）。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア6.1（整合性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：H/PR：N/UI：R/S：C/C：N/I：H/A：N）。（CVE-2018-2641）LDAPCertStore LDAP照会の安全性の低い処理（JNDI、8186606）：OpenJDKのJNDIコンポーネントのLDAPCertStoreクラスがLDAP照会を安全に処理できないことがわかりました。攻撃者がこの欠陥を使用して、攻撃者が制御する証明書データを取得する可能性があります。（CVE-2018-2633）キー合意の不十分な強度（JCE、8185292）：OpenJDKのJCEコンポーネントにおけるキーの合意の実装で、生成された共有秘密を適切に保護するために使用されるキーの強度が十分であることを保証できないことがわかりました。これにより、ネゴシエート済みの秘密を使用し暗号化ではなく、鍵合意を攻撃することで暗号化されたデータがさらに簡単に解読される可能性があります。（CVE-2018-2618）暗号化キーデータへの非同期のアクセス（Libraries、8172525）：OpenJDKのライブラリコンポーネントの複数の暗号化キークラスが、内部データへのアクセスを適切に同期していないことがわかりました。これにより、ゼロアウトされたキーを使用するため、マルチスレッドのJavaアプリケーションが弱い暗号化をデータに適用する可能性があります。（CVE-2018-2579）逆シリアル化における無制限のメモリ割り当て（AWT、8190289）：Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：AWT）。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性への攻撃が成功すると、Java SEやJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア4.3（可用性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：L/PR：N/UI：R/S：U/C：N/I：N/A：L）。（CVE-2018-2677）DerValueにおける制限されない割り当て（Libraries、8182387）：OpenJDKのライブラリコンポーネントが、DERでコード化された入力を読み取るときに、割り当てられるメモリの量を十分に制限できないことがわかりました。DERでコード化された攻撃者による入力を解析した場合、リモートの攻撃者がこの欠陥を使用して、Javaアプリケーションに過度のメモリを使用させる可能性があります。（CVE-2018-2603）BasicAttributesの逆シリアル化における無制限のメモリ割り当て（JNDI、8191142）：Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントの脆弱性（サブコンポーネント：JNDI）。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockitの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、クライアントとサーバーへのJavaの配置が対象です。この脆弱性は、サンドボックス化されたJava Web StartアプリケーションとJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供することでも悪用されます。CVSS 3.0ベーススコア4.3（可用性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：L/PR：N/UI：R/S：U/C：N/I：N/A：L）。（CVE-2018-2678）HTTP/SPNEGOでのグローバル認証情報の使用（JGSS、8186600）：OpenJDKのJGSSコンポーネントは、HTTP/SPNEGO認証を使用するとき、javax.security.auth.useSubjectCredsOnlyプロパティの値を無視し、常にグローバル認証情報を使用します。これにより、信頼できないJavaアプリケーションがグローバルな資格情報を予期せず使用する可能性があることが発見されました。（CVE-2018-2634）GSSコンテキストのメモリ解放後使用（Use After Free）（JGSS、8186212）：OpenJDKのJGSSコンポーネントが、特定の場合にネイティブGSSライブラリラッパーのGSSコンテキストを適切に処理しないことがわかりました。リモートの攻撃者がJGSSを使用してJavaアプリケーションを作成し、以前に解放されたコンテキストを使用する可能性があります。（CVE-2018-2629）DnsClientで送信元ポートランダム化が実行されない（JNDI、8182125）：OpenJDKのJNDIコンポーネントでのDNSクライアント実装で、DNSクエリを送信するときにランダムな送信元ポートが使用されないことがわかりました。これにより、リモートの攻撃者がクエリへの応答を偽装することが容易になる可能性があります。（CVE-2018-2599）

ソリューション

「yum update java-1.8.0-openjdk」を実行してシステムを更新してください。

参考資料

https://alas.aws.amazon.com/ALAS-2018-949.html

プラグインの詳細

深刻度: High

ID: 106694

ファイル名: ala_ALAS-2018-949.nasl

バージョン: 3.3

タイプ: local

エージェント: unix

公開日: 2018/2/9

更新日: 2019/7/10

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.3

CVSS v2

リスクファクター: Medium

基本値: 5.8

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:P

CVSS v3

リスクファクター: High

基本値: 8.3

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

脆弱性情報

CPE: p-cpe:/a:amazon:linux:java-1.8.0-openjdk, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-debuginfo, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-demo, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-devel, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-headless, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-javadoc, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-javadoc-zip, p-cpe:/a:amazon:linux:java-1.8.0-openjdk-src, cpe:/o:amazon:linux

必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

パッチ公開日: 2018/2/8

脆弱性公開日: 2018/1/18

参照情報

CVE: CVE-2018-2579, CVE-2018-2582, CVE-2018-2588, CVE-2018-2599, CVE-2018-2602, CVE-2018-2603, CVE-2018-2618, CVE-2018-2629, CVE-2018-2633, CVE-2018-2634, CVE-2018-2637, CVE-2018-2641, CVE-2018-2663, CVE-2018-2677, CVE-2018-2678

ALAS: 2018-949