Amazon Linux 2023 : java-21-amazon-corretto, java-21-amazon-corretto-devel, java-21-amazon-corretto-headless (ALAS2023-2026-2097)
medium Nessus プラグイン ID 341913
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-2097 のアドバイザリに記載されている複数の脆弱性の影響を受けます。Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: セキュリティ)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u501、11.0.32、17.0.20、21.0.12、25.0.4、26.0.2、Oracle GraalVM for JDK: 17.0.20、21.0.12、Oracle GraalVM Enterprise Edition: 21.3.19 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータのサブセットに、権限なしで読み取りアクセスが行われる可能性があります。注意:
この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレットを、たとえば Web サービスを介して使用せずに、指定されたコンポーネントの API にデータを提供することでのみ悪用される可能性があります。CVSS 3.1 ベーススコア 3.7 (機密性に影響)。CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N)。(CVE-2026-60589)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE の Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ネットワーキング)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u501、11.0.32、17.0.20、21.0.12、25.0.4、26.0.2、Oracle GraalVM for JDK: 17.0.20、21.0.12、Oracle GraalVM Enterprise Edition: 21.3.19 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性が Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition に存在する間は、攻撃により別の製品にも重大な影響を与える可能性があります (範囲変更)。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1 ベーススコア 6.8 (機密性に影響)。CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N)。(CVE-2026-61308)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE の Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JSSE)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u501、11.0.32、17.0.20、21.0.12、25.0.4、26.0.2、Oracle GraalVM for JDK: 17.0.20、21.0.12、Oracle GraalVM Enterprise Edition: 21.3.19 です。容易に悪用できる脆弱性により、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意:
この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレットを、たとえば Web サービスを介して使用せずに、指定されたコンポーネントの API にデータを提供することでのみ悪用される可能性があります。CVSS 3.1 基本値 5.3 (可用性に影響)。CVSS ベクトル: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)
(CVE-2026-70907)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update java-21-amazon-corretto --releasever 2023.12.20260831」または「dnf update --advisory ALAS2023-2026-2097 --releasever 2023.12.20260831」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2097.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-60589.html
プラグインの詳細
深刻度: Medium
ID: 341913
ファイル名: al2023_ALAS2023-2026-2097.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/8/31
更新日: 2026/8/31
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.3
パーセンタイル: 50.82
CVSS v2
リスクファクター: Medium
基本値: 5.4
現状値: 4
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:C/I:N/A:N
CVSS スコアのソース: CVE-2026-61308
CVSS v3
リスクファクター: Medium
基本値: 6.8
現状値: 5.9
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:java-21-amazon-corretto-debugsymbols, p-cpe:/a:amazon:linux:java-21-amazon-corretto-devel, p-cpe:/a:amazon:linux:java-21-amazon-corretto-headless, p-cpe:/a:amazon:linux:java-21-amazon-corretto-javadoc, p-cpe:/a:amazon:linux:java-21-amazon-corretto-jmods, p-cpe:/a:amazon:linux:java-21-amazon-corretto
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/31
脆弱性公開日: 2026/8/18