IBM Java が 6.0-16.7 に更新され、いくつかのセキュリティの問題が修正されました。

次の脆弱性が修正されました：

  - CVE-2015-1931：IBM Java セキュリティコンポーネントが平文のデータをメモリダンプに保存し、このためにローカルの攻撃者が情報を入手し、システムに対するさらなる攻撃を助ける可能性があります。

  - CVE-2015-2590：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

  - CVE-2015-2601：JCE コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

  - CVE-2015-2621：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

  - CVE-2015-2625：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

  - CVE-2015-2632：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

  - CVE-2015-2637：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

  - CVE-2015-2638：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

  - CVE-2015-2664：展開コンポーネントの悪用に困難な脆弱性はオペレーティングシステムにログオンする必要があります。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

  - CVE-2015-2808：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

  - CVE-2015-4000：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java Embedded がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

  - CVE-2015-4731：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

  - CVE-2015-4732：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

  - CVE-2015-4733：RMI コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能でした。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

  - CVE-2015-4748：セキュリティコンポーネントの悪用に非常に困難な脆弱性は、 OCSP で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

  - CVE-2015-4749：JNDI コンポーネントの悪用に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、権限なしで部分的なサービス拒否（部分的な DOS）を引き起こすことができます。

  - CVE-2015-4760：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

更新パッケージには、セキュリティ関連以外の修正も含まれています。詳細については、アドバイザリを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

SUSE SLES12セキュリティ更新プログラム：java-1_6_0-ibm（SUSE-SU-2015:1345-1）（Bar Mitzvah）（Logjam）

critical Nessus プラグイン ID 119969

バージョン 1.9

バージョン 1.8

バージョン 1.7

バージョン 1.9 Jul 17, 2024, 7:20 AM CVSS metrics ("CVSSv3 score" set to 9.8) CVSS metrics ("CVSSv3 vector" set to "CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H") CVSSv3 score source (changed from "CVE-2015-1931" to "CVE-2015-2590") CVSSv3 severity (based on CVE-2015-2590, severity increased from "Medium" to "High") Plugin Feed: 202407170720
バージョン 1.8 Dec 6, 2022, 1:01 AM Reference Plugin Feed: 202212060101
バージョン 1.7 Oct 3, 2022, 3:58 PM CVE (Changed from None to CVE-2015-1931) CVSS metrics Plugin Feed: 202210031558