OpenJDKの暗号の実装に、競合状態があることがわかりました。攻撃者がこれを利用して、秘密情報を漏えいさせる可能性があります。（CVE-2018-2579）

OpenJDKのLDAP実装がログイン名を適切にエンコードしないことがわかりました。リモートの攻撃者がこれを悪用して、秘密情報を漏洩させる可能性があります。(CVE-2018-2588)

OpenJDKのDNSクライアント実装がソースポートを適切にランダム化しないことがわかりました。リモートの攻撃者がこれを利用して、Javaアプリケーションが作成したDNSクエリに対する応答を偽装する可能性があります。
(CVE-2018-2599)

OpenJDKの国際化コンポーネントは、リソースバンドルクラスを読み込むとき、検索パスを制限しないことがわかりました。ローカルの攻撃者がこれを利用して、ユーザーが悪意のあるコードを実行するよう誘導する可能性があります。(CVE-2018-2602)

DER入力を解析するとき、OpenJDKがメモリ割り当てを適切に制限しないことがわかりました。リモートの攻撃者がこれを利用して、サービス拒否を引き起こす可能性があります。(CVE-2018-2603)

OpenJDKのJava Cryptography Extension（JCE）実装が、特定の状況で、鍵の共有中に十分なキー強度を保証していないことがわかりました。攻撃者がこれを悪用して、秘密情報を漏えいさせる可能性があります。（CVE-2018-2618）

OpenJDKのJava GSS実装では、特定の状況でネイティブGSSライブラリのGSSコンテキストが適切に処理されないことがわかりました。攻撃者がこれを利用して権限のないリソースにアクセスする可能性があります。(CVE-2018-2629)

OpenJDKのLDAP実装では、特定の状況でLDAP参照を適切に処理しないことがわかりました。攻撃者がこれを利用して、秘密情報を漏えいしたり不正な権限を取得したりする可能性があります。(CVE-2018-2633)

OpenJDKのJava GSS実装では、特定の状況でサブジェクトの資格情報が適切に適用されないことがわかりました。攻撃者がこれを利用して、秘密情報を漏えいしたり、不正なリソースにアクセスしたりする可能性があります。(CVE-2018-2634)

OpenJDKのJava Management Extensions（JMX）コンポーネントでは、特定の状況で逆シリアル化フィルターを適切に適用しないことがわかりました。攻撃者がこれを利用して、逆シリアル化の制限をバイパスする可能性があります。(CVE-2018-2637)

GTKライブラリを読み込むとき、OpenJDKのAWTコンポーネントにメモリ解放後使用（use-after-free）の脆弱性があることがわかりました。攻撃者がこれを利用して、逆シリアル化の制限をバイパスする可能性があります。(CVE-2018-2641)

逆シリアル化を実行するとき、特定の状況でOpenJDKがオブジェクトを適切に検証しないことがわかりました。攻撃者がこれを利用して、サービス拒否 (アプリケーションクラッシュや過剰なメモリ消費) を引き起こす可能性があります。(CVE-2018-2663)

OpenJDKのAWTコンポーネントが、一部のオブジェクトを逆シリアル化するとき、割り当てられるメモリ量を適切に制限しないことがわかりました。攻撃者がこれを利用して、サービス拒否 (過剰なメモリ消費) を引き起こす可能性があります。(CVE-2018-2677)

OpenJDKのJNDIコンポーネントが、特定の状況でオブジェクトを逆シリアル化するとき、割り当てられるメモリ量を適切に制限しないことがわかりました。攻撃者がこれを利用して、サービス拒否 (過剰なメモリ消費) を引き起こす可能性があります。(CVE-2018-2678)。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Ubuntu 14.04 LTS: OpenJDK 7 の脆弱性 (USN-3614-1)

high Nessus プラグイン ID 108794

バージョン 1.6