Azul Zulu Javaの複数の脆弱性（2021年10月19日）
high Nessus プラグイン ID 154381
Language:
概要
Azul Zulu OpenJDKは複数の脆弱性の影響を受けます。説明
リモートホストにインストールされているAzul Zuluのバージョンは、6 < 6.43 / 7 < 7.49.0.14 / 8 < 8.57.0.14 / 11 < 11.51.16 / 13 < 13.43.12 / 15 < 15.35.12 / 17 < 17.30.16より前です。したがって、2021年10月19日のアドバイザリに記載されている複数の脆弱性の影響を受けます。- 2.9.11より前のバージョンのlibxml2のxmlエンティティエンコーディング機能に欠陥があります。影響を受けるlibxml2の機能にリンクされたアプリケーションによって処理される細工されたファイルを提供できる攻撃者が、領域外読み取りをトリガーする可能性があります。この欠陥の影響を受ける可能性が最も高いのはアプリケーションの可用性です。攻撃者がメモリ情報を使用してアプリケーションをさらに悪用できる場合、機密性と整合性に影響が及ぶ可能性があります。（CVE-2021-3517）
- 1.18.4より前のGStreamerが、特定のID3v2タグを処理する際に、領域外読み取りを実行する可能性があります。
(CVE-2021-3522)
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者がTLSを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.9（機密性に影響）CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N）。（CVE-2021-35550）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
Swing）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35556）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
Swing）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35559）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
ユーティリティ）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35561）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
Keytool）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.3（整合性への影響）
CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N）。（CVE-2021-35564）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者がTLSを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレットを、たとえばWebサービスを介して使用せずに、指定されたコンポーネントのAPIにデータを提供することでのみ悪用される可能性があります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：
(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35565）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
ライブラリ）。サポートされているバージョンで影響を受けるのは、Java SE：8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、権限の低い攻撃者がKerberosを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはJava SE、Oracle GraalVM Enterprise Editionですが、攻撃が他の製品に大きな影響を与える可能性があります。
この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア6.8（機密性に影響）CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N）。（CVE-2021-35567）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者がTLSを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレットを、たとえばWebサービスを介して使用せずに、指定されたコンポーネントのAPIにデータを提供することでのみ悪用される可能性があります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：
(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35578）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
ImageIO）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35586）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
ホットスポット）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア3.1（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L）。（CVE-2021-35588）
- Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者がTLSを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるデータのサブセットに、権限なしで読み取りアクセスが行われる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア3.7（機密性に影響）CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N）。（CVE-2021-35603）
Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
2021年10月のAzul Zulu OpenJDK Patch Updateアドバイザリに従い、適切なパッチを適用してください。参考資料
https://docs.azul.com/core/zulu-openjdk/release-notes/october-2021
プラグインの詳細
深刻度: High
ID: 154381
ファイル名: azul_zulu_17_30_16.nasl
バージョン: 1.3
タイプ: local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2021/10/25
更新日: 2022/4/11
設定: 徹底したチェックを有効にする
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.5
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 5.5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2021-3517
CVSS v3
リスクファクター: High
基本値: 8.6
現状値: 7.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:azul:zulu
必要な KB アイテム: installed_sw/Java
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2021/10/19
脆弱性公開日: 2021/5/19
参照情報
CVE: CVE-2021-3517, CVE-2021-3522, CVE-2021-35550, CVE-2021-35556, CVE-2021-35559, CVE-2021-35561, CVE-2021-35564, CVE-2021-35565, CVE-2021-35567, CVE-2021-35578, CVE-2021-35586, CVE-2021-35588, CVE-2021-35603