OpenJDK 8 <= 8u472/ 11.0.0 <= 11.0.29 / 17.0.0 <= 17.0.17 / 21.0.0 <= 21.0.9 / 25.0.0 <= 25.0.1 の複数の脆弱性2026年1月20日
high Nessus プラグイン ID 296746
Language:
概要
OpenJDK は複数の脆弱性の影響を受けます。説明
リモートホストにインストールされている OpenJDK のバージョンは、8u472 より前の 8 / 11.0.0 より前の 11.0.29 / 17.0.0 より前の 17.0.17 / 21.0.0 より前の 21.0.9 / 25.0.0 より前の 25.0.1です。したがって、2026 年 1 月 20 日のアドバイザリに記載されている複数の脆弱性の影響を受けます。注意: Java CVE には常に OpenJDK バージョンが含まれているとは限りませんが、言及されている OpenJDK セキュリティアドバイザリのパッチバージョンを使用して Tenable によって個別に確認されます。
- Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性コンポーネントAWT、JavaFX。影響を受けるサポート対象のバージョンは以下のとおりです。Oracle Java SE8u471、8u471-b50、8u471-perf、 11.0.29、 17.0.17、 21.0.9、 25.0.1JDK 用の Oracle GraalVM 17.0.17 および 21.0.9。
Oracle GraalVM Enterprise Edition 21.3.16 容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性があるのはOracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition、Oracle GraalVM Enterprise Editionですが、攻撃が他の製品に大きな影響を与える可能性があります範囲の変更。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2026-21932)
- Oracle Java 21 にブラインドサーバーサイドリクエストフォージェリSSRFの脆弱性が存在します。非デフォルトシステムプロパティcom.sun.security.enableAIAcaIssuersがtrueに設定されているとき、サービス拒否DoSにつながる脆弱性がx509証明書パス検証メカニズムにあります。CVE-2026-21945
- Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: セキュリティ)。影響を受けるサポート対象のバージョンは以下のとおりです。Oracle Java SE8u471、8u471-b50、8u471-perf、 11.0.29、 17.0.17、 21.0.9、 25.0.1JDK 用の Oracle GraalVM 17.0.17 および 21.0.9。
Oracle GraalVM Enterprise Edition 21.3.16 容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性があります完全なDOS。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2026-21945)
- Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE の Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ネットワーキング)。影響を受けるサポート対象のバージョンは以下のとおりです。Oracle Java SE8u471、8u471-b50、8u471-perf、 11.0.29、 17.0.17、 21.0.9、 25.0.1JDK 用の Oracle GraalVM 17.0.17 および 21.0.9。
Oracle GraalVM Enterprise Edition 21.3.16 容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性があるのはOracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition、Oracle GraalVM Enterprise Editionですが、攻撃が他の製品に大きな影響を与える可能性があります範囲の変更。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、削除アクセス、また、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition のアクセス可能なデータのサブセットへの不正な読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2026-21933)
- Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性コンポーネントRMI。影響を受けるサポート対象のバージョンは以下のとおりです。Oracle Java SE8u471、8u471-b50、8u471-perf、 11.0.29、 17.0.17、 21.0.9、 25.0.1JDK 用の Oracle GraalVM 17.0.17 および 21.0.9。
Oracle GraalVM Enterprise Edition 21.3.16 悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、削除アクセス、また、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition のアクセス可能なデータのサブセットへの不正な読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2026-21925)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
8u472 より大きいバージョンの OpenJDK にアップグレードしてください / 11.0.29 / 17.0.17 / 21.0.9 / 25.0.1参考資料
https://openjdk.java.net/groups/vulnerability/advisories/2026-01-20
プラグインの詳細
深刻度: High
ID: 296746
ファイル名: openjdk_2026-01-20.nasl
バージョン: 1.1
タイプ: local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2026/1/27
更新日: 2026/1/27
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.2
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N
CVSS スコアのソース: CVE-2026-21932
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2026-21945
脆弱性情報
CPE: cpe:/a:oracle:openjdk
必要な KB アイテム: installed_sw/Java
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/1/20
脆弱性公開日: 2026/1/20
参照情報
CVE: CVE-2026-21925, CVE-2026-21932, CVE-2026-21933, CVE-2026-21945