リモートの SUSE Linux SLED15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2021:3671-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    JSSE)。サポートされているバージョンで影響を受けるのは、Java SE: 7u311、8u301、11.0.12。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35550)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    Swing)。サポートされているバージョンで影響を受けるのは、Java SE: 7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2021-35556)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    Swing)。サポートされているバージョンで影響を受けるのは、Java SE: 7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35559)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    ユーティリティ)。サポートされているバージョンで影響を受けるのは、Java SE: 7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35561)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    Keytool)。サポートされているバージョンで影響を受けるのは、Java SE: 7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35564)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    JSSE)。サポートされているバージョンで影響を受けるのは、Java SE: 7u311、8u301、11.0.12。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意:  この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレットを、たとえば Web サービスを介して使用せずに、指定されたコンポーネントの API にデータを提供することでのみ悪用される可能性があります。(CVE-2021-35565)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    ライブラリ)。サポートされているバージョンで影響を受けるのは、Java SE: 8u301、11.0.12、17。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。容易に悪用できる脆弱性により、権限の低い攻撃者が Kerberos を使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのは Java SE、Oracle GraalVM Enterprise Edition ですが、攻撃が他の製品に大きな影響を与える可能性があります。
    この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35567)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    JSSE)。サポートされているバージョンで影響を受けるのは、Java SE: 8u301、11.0.12、17。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意:  この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレットを、たとえば Web サービスを介して使用せずに、指定されたコンポーネントの API にデータを提供することでのみ悪用される可能性があります。(CVE-2021-35578)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    ImageIO)。サポートされているバージョンで影響を受けるのは、Java SE: 7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35586)

  - Oracle Java SE の Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 
    JSSE)。サポートされているバージョンで影響を受けるのは、Java SE: 7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition:20.3.3および21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータのサブセットに、権限なしで読み取りアクセスが行われる可能性があります。注意:  この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2021-35603)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 セキュリティ更新プログラム: java-11-openjdk (SUSE-SU-2021:3671-1)

medium Nessus プラグイン ID 155464

バージョン 1.6