リモートホストにインストールされているAzul Zuluのバージョンは、 6.43 より前の6、 7.49.0.14 より前の7、 8.57.0.14 より前の8、 11.51.16 より前の11、 13.43.12 より前の13、 15.35.12 より前の15、 17.30.16より前の17です。したがって、2021年10月19日のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.9.11より前のバージョンのlibxml2のxmlエンティティエンコーディング機能に欠陥があります。影響を受けるlibxml2の機能にリンクされたアプリケーションによって処理される細工されたファイルを提供できる攻撃者が、領域外読み取りをトリガーする可能性があります。この欠陥の影響を受ける可能性が最も高いのはアプリケーションの可用性です。攻撃者がメモリ情報を使用してアプリケーションをさらに悪用できる場合、機密性と整合性に影響が及ぶ可能性があります。（CVE-2021-3517）

  - 1.18.4より前のGStreamerが、特定のID3v2タグを処理する際に、領域外読み取りを実行する可能性があります。
    (CVE-2021-3522)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition製品の脆弱性 (コンポーネント：
    JSSE)。影響を受けるサポートされたバージョンは、Java SE: 7u311、8u301、11.0.12、Oracle GraalVM Enterprise Edition: 20.3.3、21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35550)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    Swing)。影響を受けるサポートされたバージョンは、Java SE: 7u311、8u301、11.0.12、17、Oracle GraalVM Enterprise Edition: 20.3.3、21.2.0 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2021-35556)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    Swing)。影響を受けるサポートされたバージョンは、Java SE: 7u311、8u301、11.0.12、17、Oracle GraalVM Enterprise Edition: 20.3.3、21.2.0 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azul Zulu Javaの複数の脆弱性（2021年10月19日）

high Nessus プラグイン ID 154381

バージョン 1.4