IBM Java 6.0 < 6.0.16.41 / 6.1 < 6.1.8.41 / 7.0 < 7.0.10.1 / 7.1 < 7.1.4.1 / 8.0 < 8.0.4.1 の複数の脆弱性

critical Nessus プラグイン ID 160374

Language:

概要

IBM Java は、複数の脆弱性による影響を受けます。

説明

リモートホストにインストールされている IBM Java のバージョンは、6.0 < 6.0.16.41 / 6.1 < 6.1.8.41 / 7.0 < 7.0.10.1 / 7.1 < 7.1.4.1 / 8.0 < 8.0.4.1 より前です。したがって、Oracle の 2017 年 1 月 17 日の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

- TLS、SSH、IPSec プロトコル、および他のプロトコルと製品で使用される DES と Triple DES 暗号には、約 40 億ブロックの誕生日制限があります。これにより、リモートの攻撃者が、長期間暗号化されたセッションに対する誕生日攻撃を介して平文データを簡単に取得できます。これは、CBC モードで Triple DES を使用した HTTPS (別名「Sweet32」攻撃) で実証されています。(CVE-2016-2183)

- Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:
Libraries)。サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。Java SE Embedded:
8u111。JRockit:R28.3.12。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Java SE、Java SE Embedded がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注: クライアントとサーバーへの Java のデプロイメントが対象です。
この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレットを、たとえば Web サービス経由で使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用される可能性があります。
(CVE-2016-5546)

- Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:
Libraries)。サポートされているバージョンで影響を受けるのは、Java SE: 7u121 および 8u112。Java SE Embedded : 8u111。
JRockit：R28.3.12。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockit の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注：クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。
また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレット (Web サービスなど ) を使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用されます。(CVE-2016-5547)

- Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ライブラリ）。
サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。Java SE Embedded: 8u111。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Java SE Embedded がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2016-5548)

- Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ライブラリ）。
サポートされているバージョンで影響を受けるのは、Java SE: 7u121 および 8u112。Java SE Embedded : 8u111。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Java SE Embedded がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2016-5549)

- Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:
ネットワーキング)。サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。Java SE Embedded:
8u111。JRockit:R28.3.12。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockit がアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注: クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。
また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレット (Web サービスなど ) を使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用されます。(CVE-2016-5552)

- Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ネットワーキング）。
サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。Java SE Embedded: 8u111。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど ) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2017-3231、CVE-2017-3261)

- Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント: RMI）。
サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。Java SE Embedded: 8u111。
JRockit：R28.3.12。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性はJava SE、Java SE Embedded、JRockitにありますが、攻撃によってほかの製品にも大きな影響が出る可能性があります。この脆弱性への攻撃が成功すると、Java SE、Java SE Embedded、JRockit の乗っ取りが発生する可能性があります。注: この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレットを、たとえば Web サービスを介して使用せずに、指定されたコンポーネントの API にデータを提供することでのみ悪用される可能性があります。
(CVE-2017-3241)

- Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント: JAAS）。
サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。Java SE Embedded: 8u111。
JRockit：R28.3.12。悪用が難しい脆弱性ですが、権限の低い攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのは Java SE、Java SE Embedded、JRockit ですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Java SE、Java SE Embedded がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注: クライアントとサーバーへの Java のデプロイメントが対象です。
この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレットを、たとえば Web サービス経由で使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用される可能性があります。
(CVE-2017-3252)

- Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント: 2D)。
サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。Java SE Embedded: 8u111。
JRockit：R28.3.12。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限なしに Java SE、Java SE Embedded、JRockit をハングさせたり、頻繁にクラッシュを繰り返したりする (完全な DOS) 可能性があります。注: クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。
また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレット (Web サービスなど ) を使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用されます。(CVE-2017-3253)

- Oracle Java SE の Java SE コンポーネントの脆弱性（サブコンポーネント: Deployment)。サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE がアクセスできるサブセットのデータが、不正に読み取りアクセスされる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2017-3259)

- Oracle Java SE の Java SE コンポーネントの脆弱性（サブコンポーネント: AWT）。サポートされているバージョンで影響を受けるのは、Java SE: 7u121 および 8u112。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはJava SEですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。注意：この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2017-3260)

- Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ライブラリ）。
サポートされているバージョンで影響を受けるのは、Java SE: 6u131、7u121 および 8u112。Java SE Embedded: 8u111。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SEおよびJava SE Embeddedの乗っ取りが発生する可能性があります。注意：この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2017-3272)

- Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ホットスポット )。
サポートされているバージョンで影響を受けるのは、Java SE: 7u121 および 8u112。Java SE Embedded : 8u111。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SEおよびJava SE Embeddedの乗っ取りが発生する可能性があります。注意：この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2017-3289)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。