IBM Java 7.1 < 7.1.5.22 / 8.0 < 8.0.8.25 の複数の脆弱性

high Nessus プラグイン ID 195219

Language:

概要

IBM Java は、複数の脆弱性による影響を受けます。

説明

リモートホストにインストールされている IBM Java のバージョンは、7.1 < 7.1.5.22 / 8.0 < 8.0.8.25 より前です。したがって、IBM Security Update 2024 年 5 月のアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

- IBM SDK、Java Technology Edition の Object Request Broker (ORB) 7.1.0.0 から 7.1.5.21 および 8.0.0.0 から 8.0.8.21 は、JEP 290 MaxRef と MaxDepth の逆シリアル化フィルターが不適切に強制されているため、特定の状況でサービス拒否攻撃に脆弱です。IBM X-Force ID: 260578。
(CVE-2023-38264)

- Eclipse OpenJ9 リリースバージョン 0.44.0 より前および 0.13.0 より後では、JVM オプションで実行する場合
- Xgc:concurrentScavenge は、保護されたストレージ [1] のハードウェアとソフトウェアサポートを備えた IBM Z プラットフォームの System.arrayCopy に対して生成されたシーケンスです。これにより、Concurrent Scavenge のガベージがコレクションサイクルがアクティブで、arraycopy のソースメモリ領域と宛先メモリ領域が重複した状態で arraycopy シーケンスを実行する際に、不正確な長さの値でバッファへのアクセスが可能になります。これにより、配列範囲の終端を超えたアドレスの読み取りと書き込みが可能になります。(CVE-2024-3933)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。