Amazon Linux 2023 : java-25-amazon-corretto, java-25-amazon-corretto-devel, java-25-amazon-corretto-headless (ALAS2023-2026-3320)
critical Nessus プラグイン ID 371894
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-3320 のアドバイザリに記載されている複数の脆弱性の影響を受けます。Mozilla は 10 月 17 日に、OneCRL を通じて、侵害された中間 eMudhra 証明書をブロックしました。これは、同日に RemoteSettings を通じてクライアントに配布されました。この更新には、更新された OneCRL ブロックリストが含まれており、RemoteSettings がポリシーにより無効になっている場合や、ユーザーのネットワーク環境で利用できない場合でも、セキュリティを危険にさらしている証明書をクライアントが確実にブロックするようにします。この脆弱性は、Firefox 158.0.1、Firefox ESR 153.5.1、Firefox ESR 115.43.1 で修正されました。
ca-certificates パッケージには、システム全体で信頼できるルート CA 証明書のセットが含まれています。ca-certificates パッケージには、危険にさらされた証明書は含まれていないため、それ自体は脆弱ではありませんが、危険にさらされた中間証明書に署名した eMudhra root CA は含まれています。これらのルートは中間体のトラストアンカーであるため、Amazon Linuxは影響を受けるeMudhra ルート証明書をパッケージから削除します。更新の後に、削除されたルートにチェーンする証明書は信頼されなくなります。
顧客は、修正済みパッケージが利用可能になり次第、ca-certificates を更新することが推奨されます。
(CVE-2026-113470)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: セキュリティ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1基本値5.9 (整合性への影響)
CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N)。(CVE-2026-83374)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE の Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JSSE)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1ベーススコア3.7 (整合性への影響) CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N)。(CVE-2026-83376)
Oracle Java SE の脆弱性 (コンポーネント: コンパイラ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 21.0.12.1、 25.0.4.1 、27です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なしで Oracle Java SE がアクセスできる一部のデータにアクセスして更新、挿入、削除されたり、さらに Oracle Java SE がアクセスできるデータのサブセットに権限なしでアクセスされ読み取られたりする可能性があります。注意:
この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレットを、たとえばWebサービスを介して使用せずに、指定されたコンポーネントのAPIにデータを提供することでのみ悪用される可能性があります。CVSS 3.1 ベーススコア 4.8(機密性と整合性への影響) CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)。(CVE-2026-83378)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: JAAS)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータのサブセットに、権限なしで読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1 ベーススコア 5.3 (機密性に影響)。CVSS Vector:
(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)。(CVE-2026-83380)
Oracle Java SEの脆弱性(コンポーネント:セキュリティ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK:
17.0.20.1 そして 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なしで Oracle Java SE がアクセスできる一部のデータにアクセスして更新、挿入、削除されたり、さらに Oracle Java SE がアクセスできるデータのサブセットに権限なしでアクセスされ読み取られたりする可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1ベーススコア4.8 (機密性と整合性への影響)
CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)。(CVE-2026-83381)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント:JDBC)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1 ベーススコア 5.9 (機密性に影響)。
CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N)。(CVE-2026-83387)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: JAXP)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1ベーススコア 5.3(可用性に影響)。CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2026-83400)
Oracle Java SE の脆弱性 (コンポーネント: コンパイラ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 25.0.4.1 および27です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SEがアクセスできるデータのサブセットが、権限なしで読み取りアクセスされる可能性があります。注意: この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレット (Web サービスなど) を使用しなくても、特定のコンポーネントの API にデータを提供するだけで悪用される可能性があります。CVSS 3.1 ベーススコア 3.7 (機密性に影響)。CVSS ベクトル: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N)
(CVE-2026-87255)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: JAXP)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1 ベーススコア 5.9 (機密性に影響)。
CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N)。(CVE-2026-87290)
Oracle Java SEの脆弱性(コンポーネント:ネットワーキング)。サポートされているバージョンで影響を受けるのは、Oracle Java SE: 21.0.12.1、 25.0.4.1 、27です。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SEがアクセスできるデータのサブセットが、権限なしで読み取りアクセスされる可能性があります。注意:
この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレットを、たとえば Web サービスを介して使用せずに、指定されたコンポーネントの API にデータを提供することでのみ悪用される可能性があります。CVSS 3.1 ベーススコア 5.3 (機密性に影響)。CVSS Vector:
(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)。(CVE-2026-87291)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE の Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ネットワーキング)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1ベーススコア3.7 (整合性への影響) CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N)。(CVE-2026-87292)
Oracle Java SEの脆弱性(コンポーネント:RMI)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503および8u503-perfです。Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE を侵害する可能性があります。この脆弱性が存在するのはOracle Java SEですが、攻撃により別の製品に重大な影響を与える可能性があります(範囲の変更)。この脆弱性に対する攻撃が成功すると、権限なしで Oracle Java SE がアクセスできる一部のデータにアクセスして更新、挿入、削除されたり、さらに Oracle Java SE がアクセスできるデータのサブセットに権限なしでアクセスされ読み取られたりする可能性があります。注意: この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレット (Web サービスなど) を使用しなくても、特定のコンポーネントの API にデータを提供するだけで悪用される可能性があります。CVSS 3.1ベーススコア5.4 (機密性と整合性への影響) CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N)。(CVE-2026-87293)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: セキュリティ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、削除アクセス、また、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition のアクセス可能なデータのサブセットへの不正な読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1ベーススコア6.5 (機密性と整合性への影響) CVSS ベクトル: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N)
(CVE-2026-87294)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: JAXP)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1ベーススコア3.7 (整合性への影響) CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N)。(CVE-2026-87367)
Oracle Java SEの脆弱性(コンポーネント:ネットワーキング)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE を侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、Oracle Java SE がアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1ベーススコア5.3 (整合性への影響) CVSS Vector:
(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)。(CVE-2026-91332)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント:ImageIO)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータのサブセットに、権限なしで読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1 ベーススコア 3.7 (機密性に影響)。CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N)。(CVE-2026-91334)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: AWT)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、権限が低い攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータのサブセットに、権限なしで読み取りアクセスが行われる可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。CVSS 3.1ベーススコア2.6 (機密性に影響) CVSS Vector:
(CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N)。(CVE-2026-91335)
Oracle Java SEの脆弱性(コンポーネント:JSSE)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。容易に悪用可能な脆弱性があり、認証されていない攻撃者がTLSを介してネットワークにアクセスし、Oracle Java SEを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1 基本値 5.3 (可用性に影響)。CVSS Vector:
(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)。(CVE-2026-91373)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: 保守性)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:
8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、削除アクセス、また、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition のアクセス可能なデータのサブセットへの不正な読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1ベーススコア4.8 (機密性と整合性への影響) CVSS ベクトル: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)
(CVE-2026-91374)
Oracle Java SEの脆弱性(コンポーネント:ライブラリ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が、Oracle Java SEが実行されているインフラストラクチャにログオンし、Oracle Java SEを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。
この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性があります。
この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。CVSS 3.1基本値4.7 (整合性への影響) CVSS Vector: (CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N)。(CVE-2026-91375)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: JDKツール)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:
8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20.1 および 21.0.12.1;Oracle GraalVM Enterprise Edition: 21.3.19.1.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を実行しているインフラストラクチャにログオンし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。CVSS 3.1ベーススコア4.7 (整合性への影響) CVSS Vector: (CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N)。(CVE-2026-91379)
Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SEのOracle GraalVM Enterprise Edition製品の脆弱性(コンポーネント: ユーティリティ)。サポートされているバージョンで影響を受けるのは、Oracle Java SE:8u503、8u503-perf、 11.0.32.1、 17.0.20.1、 21.0.12.1、 25.0.4.1、27;Oracle GraalVM for JDK: 17.0.20 ...
注意: この説明は、長さの関係上省略されています。詳細については、ベンダーのアドバイザリを参照してください。
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update java-25-amazon-corretto --releasever 2023.12.20261026」または「dnf update --advisory ALAS2023-2026-3320 --releasever 2023.12.20261026」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3320.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-113470.html
https://explore.alas.aws.amazon.com/CVE-2026-83374.html
https://explore.alas.aws.amazon.com/CVE-2026-83376.html
https://explore.alas.aws.amazon.com/CVE-2026-83378.html
https://explore.alas.aws.amazon.com/CVE-2026-83380.html
https://explore.alas.aws.amazon.com/CVE-2026-83381.html
https://explore.alas.aws.amazon.com/CVE-2026-83387.html
https://explore.alas.aws.amazon.com/CVE-2026-83400.html
https://explore.alas.aws.amazon.com/CVE-2026-87255.html
https://explore.alas.aws.amazon.com/CVE-2026-87290.html
https://explore.alas.aws.amazon.com/CVE-2026-87291.html
https://explore.alas.aws.amazon.com/CVE-2026-87292.html
https://explore.alas.aws.amazon.com/CVE-2026-87293.html
https://explore.alas.aws.amazon.com/CVE-2026-87294.html
https://explore.alas.aws.amazon.com/CVE-2026-87367.html
https://explore.alas.aws.amazon.com/CVE-2026-91332.html
https://explore.alas.aws.amazon.com/CVE-2026-91334.html
https://explore.alas.aws.amazon.com/CVE-2026-91335.html
https://explore.alas.aws.amazon.com/CVE-2026-91373.html
https://explore.alas.aws.amazon.com/CVE-2026-91374.html
https://explore.alas.aws.amazon.com/CVE-2026-91375.html
https://explore.alas.aws.amazon.com/CVE-2026-91379.html
https://explore.alas.aws.amazon.com/CVE-2026-91380.html
https://explore.alas.aws.amazon.com/CVE-2026-91381.html
https://explore.alas.aws.amazon.com/CVE-2026-91382.html
https://explore.alas.aws.amazon.com/CVE-2026-91394.html
https://explore.alas.aws.amazon.com/CVE-2026-91395.html
https://explore.alas.aws.amazon.com/CVE-2026-91396.html
https://explore.alas.aws.amazon.com/CVE-2026-91397.html
https://explore.alas.aws.amazon.com/CVE-2026-91398.html
https://explore.alas.aws.amazon.com/CVE-2026-91400.html
https://explore.alas.aws.amazon.com/CVE-2026-91403.html
https://explore.alas.aws.amazon.com/CVE-2026-91409.html
https://explore.alas.aws.amazon.com/CVE-2026-91410.html
https://explore.alas.aws.amazon.com/CVE-2026-91411.html
https://explore.alas.aws.amazon.com/CVE-2026-91415.html
https://explore.alas.aws.amazon.com/CVE-2026-91418.html
https://explore.alas.aws.amazon.com/CVE-2026-91451.html
https://explore.alas.aws.amazon.com/CVE-2026-91452.html
https://explore.alas.aws.amazon.com/CVE-2026-91453.html
https://explore.alas.aws.amazon.com/CVE-2026-91461.html
https://explore.alas.aws.amazon.com/CVE-2026-91462.html
https://explore.alas.aws.amazon.com/CVE-2026-91463.html
プラグインの詳細
深刻度: Critical
ID: 371894
ファイル名: al2023_ALAS2023-2026-3320.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/25
更新日: 2026/10/25
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.3
パーセンタイル: 98.17
CVSS v2
リスクファクター: Medium
基本値: 6.4
現状値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS スコアのソース: CVE-2026-87294
CVSS v3
リスクファクター: Critical
基本値: 9.1
現状値: 8.2
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2026-91403
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:java-25-amazon-corretto-debugsymbols, p-cpe:/a:amazon:linux:java-25-amazon-corretto-devel, p-cpe:/a:amazon:linux:java-25-amazon-corretto-headless, p-cpe:/a:amazon:linux:java-25-amazon-corretto-javadoc, p-cpe:/a:amazon:linux:java-25-amazon-corretto-jmods, p-cpe:/a:amazon:linux:java-25-amazon-corretto
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/10/24
脆弱性公開日: 2026/10/15
参照情報
CVE: CVE-2026-113470, CVE-2026-83374, CVE-2026-83376, CVE-2026-83378, CVE-2026-83380, CVE-2026-83381, CVE-2026-83387, CVE-2026-83400, CVE-2026-87255, CVE-2026-87290, CVE-2026-87291, CVE-2026-87292, CVE-2026-87293, CVE-2026-87294, CVE-2026-87367, CVE-2026-91332, CVE-2026-91334, CVE-2026-91335, CVE-2026-91373, CVE-2026-91374, CVE-2026-91375, CVE-2026-91379, CVE-2026-91380, CVE-2026-91381, CVE-2026-91382, CVE-2026-91394, CVE-2026-91395, CVE-2026-91396, CVE-2026-91397, CVE-2026-91398, CVE-2026-91400, CVE-2026-91403, CVE-2026-91409, CVE-2026-91410, CVE-2026-91411, CVE-2026-91415, CVE-2026-91418, CVE-2026-91451, CVE-2026-91452, CVE-2026-91453, CVE-2026-91461, CVE-2026-91462, CVE-2026-91463, CVE-2026-91464, CVE-2026-91487