Debian DLA-3307-1: openjdk-11 - LTS のセキュリティ更新

low Nessus プラグイン ID 171041

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10 ホストには、dla-3307 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: セキュリティ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 8u341、8u345-perf、11.0.16.1、17.0.4.1、19; Oracle GraalVM Enterprise Edition:20.3.7、21.3.3、および 22.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (例えば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2022-21619)

- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JNDI)。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 8u341、8u345-perf、11.0.16.1、17.0.4.1、19; Oracle GraalVM Enterprise Edition:20.3.7、21.3.3、および 22.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (例えば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2022-21624)

- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: セキュリティ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 8u341、8u345-perf、11.0.16.1; Oracle GraalVM Enterprise Edition:20.3.7、21.3.3、および 22.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が HTTPS を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (例えば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。
(CVE-2022-21626)

- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 軽量 HTTP サーバー)。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 8u341、8u345-perf、11.0.16.1、17.0.4.1、19; Oracle GraalVM Enterprise Edition:20.3.7、21.3.3、および 22.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2022-21628)

- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ネットワーキング)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:11.0.16.1、17.0.4.1、19;
Oracle GraalVM Enterprise Edition:20.3.7、21.3.3、および 22.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2022-39399)

- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JSSE)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:11.0.17、17.0.5、19.0.1;
Oracle GraalVM Enterprise Edition:20.3.8、21.3.4、および 22.3.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が DTLS を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2023-21835)

- Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: Sound)。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 8u351, 8u351-perf, 11.0.17, 17.0.5, 19.0.1; Oracle GraalVM Enterprise Edition:20.3.8、21.3.4、および 22.3.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2023-21843)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

openjdk-11 パッケージをアップグレードしてください。

Debian 10 Buster では、これらの問題はバージョン 11.0.18+10-1~deb10u1 で修正されています。

参考資料

https://security-tracker.debian.org/tracker/source-package/openjdk-11

https://www.debian.org/lts/security/2023/dla-3307

https://security-tracker.debian.org/tracker/CVE-2022-21619

https://security-tracker.debian.org/tracker/CVE-2022-21624

https://security-tracker.debian.org/tracker/CVE-2022-21626

https://security-tracker.debian.org/tracker/CVE-2022-21628

https://security-tracker.debian.org/tracker/CVE-2022-39399

https://security-tracker.debian.org/tracker/CVE-2023-21835

https://security-tracker.debian.org/tracker/CVE-2023-21843

https://packages.debian.org/source/buster/openjdk-11

プラグインの詳細

深刻度: Low

ID: 171041

ファイル名: debian_DLA-3307.nasl

バージョン: 1.1

タイプ: local

エージェント: unix

公開日: 2023/2/6

更新日: 2023/9/5

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Low

スコア: 2.2

CVSS v2

リスクファクター: Low

Base Score: 2.6

Temporal Score: 2.1

ベクトル: CVSS2#AV:N/AC:H/Au:N/C:N/I:P/A:N

CVSS スコアのソース: CVE-2023-21843

CVSS v3

リスクファクター: Low

Base Score: 3.7

Temporal Score: 3.5

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:openjdk-11-dbg, p-cpe:/a:debian:debian_linux:openjdk-11-demo, p-cpe:/a:debian:debian_linux:openjdk-11-doc, p-cpe:/a:debian:debian_linux:openjdk-11-jdk, p-cpe:/a:debian:debian_linux:openjdk-11-jdk-headless, p-cpe:/a:debian:debian_linux:openjdk-11-jre, p-cpe:/a:debian:debian_linux:openjdk-11-jre-headless, p-cpe:/a:debian:debian_linux:openjdk-11-jre-zero, p-cpe:/a:debian:debian_linux:openjdk-11-source, cpe:/o:debian:debian_linux:10.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2023/2/6

脆弱性公開日: 2022/10/17

参照情報

CVE: CVE-2022-21619, CVE-2022-21624, CVE-2022-21626, CVE-2022-21628, CVE-2022-39399, CVE-2023-21835, CVE-2023-21843