Amazon Corretto Java 11.x < 11.0.32.9.1 複数の脆弱性
high Nessus プラグイン ID 328861
Language:
概要
Amazon Corretto 複数の脆弱性の影響を受けています。説明
リモートホストにインストールされている Amazon Corretto のバージョンは、11 の 11.0.32.9.1 より前です。したがって、corretto-11-2026-Jul-21 のアドバイザリに記載されている複数の脆弱性の影響を受けます。- Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ライブラリ)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u491、8u491-perf、11.0.31、17.0.19、21.0.11、25.0.3、26.0.1、Oracle GraalVM for JDK: 17.0.19、21.0.11、Oracle GraalVM Enterprise Edition: 21.3.18 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2026-47063)
- オーバーフローチェックが乗算の後に行われるため、2.18 までの Little CMS (lcms2) には、cmslut.c の CubeSize に整数オーバーフローがあります。(CVE-2026-41254)
- Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE の Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JSSE)。影響を受けるサポートされたバージョンは、Oracle Java SE: 11.0.31、17.0.19、21.0.11、25.0.3、26.0.1、Oracle GraalVM for JDK: 17.0.19、21.0.11、Oracle GraalVM Enterprise Edition: 21.3.18 です。容易に悪用できる脆弱性により、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレット (Web サービスなど) を使用しなくても、特定のコンポーネントの API にデータを提供するだけで悪用される可能性があります。
(CVE-2026-46917)
- Oracle Java SE の脆弱性 (コンポーネント: JSSE)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u491、8u491-perf、11.0.31、17.0.19、21.0.11、25.0.3、26.0.1、Oracle GraalVM for JDK: 17.0.19、21.0.11、Oracle GraalVM Enterprise Edition: 21.3.18 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が TLS を介してネットワークにアクセスし、Oracle Java SE を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレット (Web サービスなど) を使用しなくても、特定のコンポーネントの API にデータを提供するだけで悪用される可能性があります。(CVE-2026-46968)
- Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE の Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ImageIO)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u491、8u491-perf、11.0.31、17.0.19、21.0.11、25.0.3、26.0.1、Oracle GraalVM for JDK: 17.0.19、21.0.11、Oracle GraalVM Enterprise Edition: 21.3.18 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2026-47010)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Amazon Corretto Java 11.0.32.9.1以降に更新してくださいプラグインの詳細
深刻度: High
ID: 328861
ファイル名: amazon_corretto_11_0_32_9_1.nasl
バージョン: 1.3
タイプ: Local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2026/7/21
更新日: 2026/7/27
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.3
パーセンタイル: 53.64
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 6.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-41254
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:amazon:corretto
必要な KB アイテム: installed_sw/Java
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/21
脆弱性公開日: 2026/4/18
参照情報
CVE: CVE-2026-41254, CVE-2026-46917, CVE-2026-46968, CVE-2026-47010, CVE-2026-47021, CVE-2026-47027, CVE-2026-47057, CVE-2026-47058, CVE-2026-47059, CVE-2026-47063, CVE-2026-60147
IAVA: 2026-A-0751