IBM Java 7.0< 7.0.10.70/ 7.1< 7.1.4.70/ 8.0< 8.0.6.15複数の脆弱性 (2020 年 1 月 14 日)

high Nessus プラグイン ID 160372

概要

IBM Java は、複数の脆弱性による影響を受けます。

説明

リモートホストにインストールされている IBM Java のバージョンは、7.0 < 7.0.10.70/ 7.1< 7.1.4.70/ 8.0< 8.0.6.15より前です。したがって、Oracle の 2020 年 7 月 14 日の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

- Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: ライブラリ)。サポートされているバージョンで影響を受けるのは、Java SE: 8u251、11.0.7および14.0.1、Java SE Embedded: 8u251。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセス可能な一部のデータが権限なしで更新、挿入または削除され、Java SE、Java SE Embedded がアクセス可能なデータサブセットへの権限のない読み取りアクセスが可能になる可能性があります。注: クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレット (Web サービスなど ) を使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用されます。(CVE-2020-14556)

- Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: JSSE) 。サポートされているバージョンで影響を受けるのは、Java SE: 7u261、8u251、11.0.7および 14.0.1、Java SE Embedded:8u251。
悪用が難しい脆弱性ですが、認証されていない攻撃者がTLSを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレット (Web サービスなど ) を使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用されます。(CVE-2020-14577)

- Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: ライブラリ)。サポートされているバージョンで影響を受けるのは、Java SE: 7u261および8u251、Java SE Embedded: 8u251。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否 (部分的DOS ) が権限なしで引き起こされる可能性があります。注意: クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。これは、Web サービスを経由するなどして、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレットを使用せずに、指定されたコンポーネントの API にデータを提供することでも、悪用される可能性があります。(CVE-2020-14578、CVE-2020-14579)

- Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: 2D)。サポートされているバージョンで影響を受けるのは、Java SE: 8u251、11.0.7および14.0.1、Java SE Embedded: 8u251。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレット (Web サービスなど ) を使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用されます。(CVE-2020-14581)

- Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: ライブラリ)。サポートされているバージョンで影響を受けるのは、Java SE: 7u261、8u251、11.0.7および 14.0.1、Java SE Embedded:8u251。
悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SEおよびJava SE Embeddedの乗っ取りが発生する可能性があります。注意:この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2020-14583)

- Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: 2D)。サポートされているバージョンで影響を受けるのは、Java SE:7u261、8u251、11.0.7および 14.0.1、Java SE Embedded:8u251。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Java SE、Java SE Embedded がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意:
この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2020-14593)

- Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: JAXP) 。サポートされているバージョンで影響を受けるのは、Java SE: 7u261、8u251、11.0.7および 14.0.1、Java SE Embedded:8u251。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注:この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレットを、たとえば Web サービスを介して使用せずに、指定されたコンポーネントの API にデータを提供することでのみ悪用される可能性があります。
(CVE-2020-14621)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

Oracle の 2020 年 7 月の CPU アドバイザリに従って、適切なパッチを適用してください。

参考資料

http://www-01.ibm.com/support/docview.wss?uid=swg1IJ26673

http://www-01.ibm.com/support/docview.wss?uid=swg1IJ26674

http://www-01.ibm.com/support/docview.wss?uid=swg1IJ26675

http://www-01.ibm.com/support/docview.wss?uid=swg1IJ26676

http://www-01.ibm.com/support/docview.wss?uid=swg1IJ26677

http://www-01.ibm.com/support/docview.wss?uid=swg1IJ26678

http://www-01.ibm.com/support/docview.wss?uid=swg1IJ26701

http://www.nessus.org/u?48659da6

プラグインの詳細

深刻度: High

ID: 160372

ファイル名: ibm_java_2020_07_14.nasl

バージョン: 1.4

タイプ: local

エージェント: windows, macosx, unix

ファミリー: Misc.

公開日: 2022/4/29

更新日: 2022/10/25

設定: 徹底したチェックを有効にする

サポートされているセンサー: Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.3

CVSS v2

リスクファクター: Medium

Base Score: 5.8

Temporal Score: 4.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N

CVSS スコアのソース: CVE-2020-14556

CVSS v3

リスクファクター: High

Base Score: 8.3

Temporal Score: 7.2

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

CVSS スコアのソース: CVE-2020-14583

脆弱性情報

CPE: cpe:/a:ibm:java

必要な KB アイテム: installed_sw/Java

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2020/7/14

脆弱性公開日: 2020/7/14

参照情報

CVE: CVE-2020-14556, CVE-2020-14577, CVE-2020-14578, CVE-2020-14579, CVE-2020-14581, CVE-2020-14583, CVE-2020-14593, CVE-2020-14621

IAVA: 2020-A-0322-S