リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2021:3007-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  -以前のすべてのメモリ書き込みのアドレスがわかる前に投機的実行および投機的実行のメモリ読み取りを利用するマイクロプロセッサを備えたシステムでは、サイドチャネル分析、別名Speculative Store Bypass(SSB)、Variant 4を使用したローカルユーザーアクセスによる攻撃者への不正な情報漏洩が発生する可能性があります。(CVE-2018-3639)

  - Oracle Java SE の Java SE、Java SE Embedded、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: Libraries)。サポートされているバージョンで影響を受けるのは、Java SE: 7u291, 8u281, 11.0.10, 16;
    Java SE Embedded: 8u281。Oracle GraalVM Enterprise Edition:19.3.5、20.3.1.2、および 21.0.0.2です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embedded、Oracle GraalVM Enterprise Editionがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。これは、指定されたコンポーネントの API に信頼できないデータを供給することでも悪用される可能性があります。(CVE-2021-2161)

  - Oracle Java SE の Java SE、Java SE Embedded、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: Libraries)。サポートされているバージョンで影響を受けるのは、Java SE: 7u291, 8u281, 11.0.10, 16;
    Java SE Embedded: 8u281。Oracle GraalVM Enterprise Edition:19.3.5、20.3.1.2、および 21.0.0.2です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embedded、Oracle GraalVM Enterprise Editionがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。(CVE-2021-2163)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    ネットワーキング)。サポートされているバージョンで影響を受けるのは、Java SE: 7u301、8u291、11.0.11、16.0.1とOracle GraalVM Enterprise Edition:20.3.2および21.1.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるデータのサブセットに、権限なしで読み取りアクセスが行われる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2021-2341)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    ライブラリ)。サポートされているバージョンで影響を受けるのは、Java SE: 7u301、8u291、11.0.11、16.0.1とOracle GraalVM Enterprise Edition:20.3.2および21.1.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
    この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2021-2369)

  - Oracle Java SE の Java SE 製品の脆弱性 (コンポーネント: JNDI)。サポートされているバージョンで影響を受けるのは、Java SE: 7u301. 悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。
    (CVE-2021-2432)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES12 セキュリティ更新プログラム:java-1_7_0-openjdk (SUSE-SU-2021:3007-1)

medium Nessus プラグイン ID 153190

バージョン 1.10