SUSE SLES11セキュリティ更新プログラム:java-1_7_1-ibm (SUSE-SU-2020:14484-1)
high Nessus プラグイン ID 150639
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES11ホストには、SUSE-SU-2020:14484-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- Power プラットフォームのバージョン 0.21 より前の Eclipse OpenJ9 では、ソースまたは宛先の配列の長さより長い System.arraycopy メソッドを呼び出すと、特定の特別に細工されたコードパターンで、現在のメソッドが未定義の戻り値により時期尚早に戻る可能性があります。これにより、その時点でリターンレジスタにある値が、メソッドの宣言された戻り値の型と一致するかのように使用されます。(CVE-2019-17639)
- Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: JSSE)。サポートされているバージョンで影響を受けるのは、Java SE: 7u261、8u251、11.0.7および 14.0.1、Java SE Embedded: 8u251。
悪用が難しい脆弱性ですが、認証されていない攻撃者がTLSを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレットを、たとえばWebサービス経由で使用せずに、指定されたコンポーネントのAPIにデータを提供することでも悪用される可能性があります。CVSS 3.1ベーススコア3.7 (機密性に影響 ) CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N ) 。 (CVE-2020-14577 )
- Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性 (コンポーネント: ライブラリ )。サポートされているバージョンで影響を受けるのは、Java SE: 7u261および8u251、Java SE Embedded: 8u251。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否 (部分的DOS ) が権限なしで引き起こされる可能性があります。注意: クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレットを、たとえばWebサービス経由で使用せずに、指定されたコンポーネントのAPIにデータを提供することでも悪用される可能性があります。CVSS 3.1ベーススコア 3.7(可用性に影響) CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L ) 。 (CVE-2020-14578、CVE-2020-14579 )
- Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性 (コンポーネント: ライブラリ )。サポートされているバージョンで影響を受けるのは、Java SE: 7u261、8u251、11.0.7および 14.0.1、Java SE Embedded: 8u251。
悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SEおよびJava SE Embeddedの乗っ取りが発生する可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行するJavaデプロイメントを対象としていません。CVSS 3.1ベーススコア 8.3(機密性、整合性、可用性の影響) CVSS Vector : (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H ) 。 (CVE-2020-14583 )
- Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性(コンポーネント: 2D)。サポートされているバージョンで影響を受けるのは、Java SE: 7u261、8u251、11.0.7および 14.0.1、Java SE Embedded: 8u251。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Java SE、Java SE Embedded がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意:
この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行するJavaデプロイメントを対象としていません。CVSS 3.1ベーススコア7.4 (整合性への影響) CVSS Vector:
(CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:N ) 。 (CVE-2020-14593 )
- Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性(コンポーネント: JAXP)。サポートされているバージョンで影響を受けるのは、Java SE: 7u261、8u251、11.0.7および 14.0.1、Java SE Embedded: 8u251。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注: この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレットを、たとえばWebサービスを介して使用せずに、指定されたコンポーネントのAPIにデータを提供することでのみ悪用される可能性があります。CVSS 3.1ベーススコア5.3(整合性への影響) CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N ) 。
(CVE-2020-14621)
Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1174157
https://bugzilla.suse.com/1175259
http://www.nessus.org/u?aebfbeea
https://www.suse.com/security/cve/CVE-2019-17639
https://www.suse.com/security/cve/CVE-2020-14577
https://www.suse.com/security/cve/CVE-2020-14578
https://www.suse.com/security/cve/CVE-2020-14579
https://www.suse.com/security/cve/CVE-2020-14583
プラグインの詳細
深刻度: High
ID: 150639
ファイル名: suse_SU-2020-14484-1.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2021/6/10
更新日: 2021/6/10
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.5
CVSS v2
リスクファクター: Medium
基本値: 5.1
現状値: 3.8
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2020-14583
CVSS v3
リスクファクター: High
基本値: 8.3
現状値: 7.2
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:java-1_7_1-ibm-jdbc, p-cpe:/a:novell:suse_linux:java-1_7_1-ibm-devel, p-cpe:/a:novell:suse_linux:java-1_7_1-ibm-plugin, cpe:/o:novell:suse_linux:11, p-cpe:/a:novell:suse_linux:java-1_7_1-ibm-alsa, p-cpe:/a:novell:suse_linux:java-1_7_1-ibm
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2020/9/3
脆弱性公開日: 2020/7/14
参照情報
CVE: CVE-2019-17639, CVE-2020-14577, CVE-2020-14578, CVE-2020-14579, CVE-2020-14583, CVE-2020-14593, CVE-2020-14621
SuSE: SUSE-SU-2020:14484-1