概要
リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。
説明
リモートの Debian 11 ホストには、dsa-5128 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。
- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント : JAXP)。サポートされているバージョンで影響を受けるのは、Oracle Java SE : 7u331、8u321、11.0.14、17.0.2、18 と Oracle GraalVM Enterprise Edition :20.3.5、21.3.1、および 22.0.0.2です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注 : この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。CVSS 3.1 ベーススコア 5.3 (可用性に影響)。CVSS Vector : (CVSS :3.1/AV :N/AC :L/PR :N/UI :N/S :U/C :N/I :N/A :L)。
(CVE-2022-21426)
- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント : Libraries)。サポートされているバージョンで影響を受けるのは、Oracle Java SE : 7u331、8u321、11.0.14、17.0.2、18 と Oracle GraalVM Enterprise Edition:20.3.5、21.3.1、および 22.0.0.2 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注 : この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。CVSS 3.1 ベーススコア 5.3 (整合性への影響 ) CVSS Vector :
(CVSS :3.1/AV :N/AC :L/PR :N/UI :N/S :U/C :N/I :L/A :N)。(CVE-2022-21434)
- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント : Libraries)。サポートされているバージョンで影響を受けるのは、Oracle Java SE : 7u331、8u321、11.0.14、17.0.2、18 と Oracle GraalVM Enterprise Edition :20.3.5、21.3.1、および 22.0.0.2 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注 : この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。CVSS 3.1 ベーススコア 3.7 (可用性に影響)。CVSS Vector :
(CVSS :3.1/AV :N/AC :H/PR :N/UI :N/S :U/C :N/I :N/A :L)。(CVE-2022-21443)
- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント : Libraries)。サポートされているバージョンで影響を受けるのは、Oracle Java SE :17.0.2 および 18 と Oracle GraalVM Enterprise Edition :21.3.1 および 22.0.0.2 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやOracle Java SE、Oracle GraalVM Enterprise Editionがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注 : この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。CVSS 3.1 ベーススコア 7.5 (整合性への影響 ) CVSS Vector :
(CVSS :3.1/AV :N/AC :L/PR :N/UI :N/S :U/C :N/I :H/A :N)。(CVE-2022-21449)
- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント : Libraries)。サポートされているバージョンで影響を受けるのは、Oracle Java SE : 7u331、8u321、11.0.14、17.0.2、18 と Oracle GraalVM Enterprise Edition :20.3.5、21.3.1、および 22.0.0.2 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注 : この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。CVSS 3.1 ベーススコア 7.5 (機密性に影響) CVSS Vector :
(CVSS :3.1/AV :N/AC :L/PR :N/UI :N/S :U/C :H/I :N/A :N)。(CVE-2022-21476)
- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント : JNDI)。サポートされているバージョンで影響を受けるのは、Oracle Java SE : 7u331、8u321、11.0.14、17.0.2、18 と Oracle GraalVM Enterprise Edition :20.3.5、21.3.1、および 22.0.0.2 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注 : この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。CVSS 3.1 ベーススコア 5.3 (整合性への影響 ) CVSS Vector : (CVSS :3.1/AV :N/AC :L/PR :N/UI :N/S :U/C :N/I :L/A :N)。
(CVE-2022-21496)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
openjdk-17 パッケージをアップグレードしてください。
安定版 (stable) ディストリビューション (bullseye) では、これらの問題はバージョン 17.0.3+7-1~deb11u1 で修正されています。
プラグインの詳細
ファイル名: debian_DSA-5128.nasl
エージェント: unix
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:debian:debian_linux:openjdk-17-dbg, p-cpe:/a:debian:debian_linux:openjdk-17-demo, p-cpe:/a:debian:debian_linux:openjdk-17-doc, p-cpe:/a:debian:debian_linux:openjdk-17-jdk, p-cpe:/a:debian:debian_linux:openjdk-17-jdk-headless, p-cpe:/a:debian:debian_linux:openjdk-17-jre, p-cpe:/a:debian:debian_linux:openjdk-17-jre-headless, p-cpe:/a:debian:debian_linux:openjdk-17-jre-zero, p-cpe:/a:debian:debian_linux:openjdk-17-source, cpe:/o:debian:debian_linux:11.0
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトの容易さ: Exploits are available