SuSE 10 セキュリティ更新：IBM Java 1.5.0（ZYPP パッチ番号 6740）

high Nessus プラグイン ID 43822

Language:

概要

リモート SuSE 10 ホストにセキュリティ関連のパッチがありません。

説明

IBM Java 5 がサービスリフレッシュ 11 に更新されました。これは、多数のバグおよびセキュリティ問題を解決します。

タイムゾーンは 1.6.9s に更新されます（最新のフィジーの変更を含む）。

- Java Runtime Environment の DER エンコードデータのデコードに関する脆弱性により、リモートクライアントがJRE をクラッシュさせ、サービス拒否状態に陥る可能性があります。（CVE-2009-3876/ CVE-2009-3877）

- Java Runtime Environment オーディオシステムのバッファオーバーフローの脆弱性により、信頼できないアプレットまたは Java Web Start アプリケーションが特権昇格を許可する可能性があります。
たとえば、信頼できないアプレットがローカルファイルを読み書きする権限を自ら付与したり、信頼できないアプレットを実行しているユーザーがアクセス可能なローカルアプリケーションを実行したりするかもしれません。（CVE-2009-3867）

- Java Runtime Environment のイメージファイルの解析に関するバッファオーバーフローの脆弱性により、信頼できないアプレットまたは Java Web Start アプリケーションが権限を昇格できるようになる可能性があります。たとえば、信頼できないアプレットがローカルファイルを読み書きする権限を自ら付与したり、信頼できないアプレットを実行しているユーザーがアクセス可能なローカルアプリケーションを実行したりするかもしれません。（CVE-2009-3868）

- Java Runtime Environment の JPEG ファイル読み取りに関する整数オーバーフローの脆弱性により、信頼できないアプレットまたは Java Web Start アプリケーションが権限を昇格できるようになる可能性があります。たとえば、信頼できないアプレットがローカルファイルを読み書きする権限を自ら付与したり、信頼できないアプレットを実行しているユーザーがアクセス可能なローカルアプリケーションを実行したりするかもしれません。（CVE-2009-3872）

- Java Runtime Environment の JPEG ファイル処理に関するバッファオーバーフローの脆弱性により、信頼できないアプレットまたは Java Web Start アプリケーションが権限を昇格できるようになる可能性があります。たとえば、信頼できないアプレットがローカルファイルを読み書きする権限を自ら付与したり、信頼できないアプレットを実行しているユーザーがアクセス可能なローカルアプリケーションを実行したりするかもしれません。（CVE-2009-3873）

- HMAC ダイジェストを検証すると、Java Runtime Environment におけるセキュリティの脆弱性によって、認証をバイパスできるようになるかもしれません。この動作により、ユーザーは有効として承認されるデジタル署名を偽造できるようになります。
HMAC ベースのデジタル署名を検証するアプリケーションは、このタイプの攻撃に脆弱である可能性があります。
（CVE-2009-3875）

- Java Runtime Environment の画像ファイル処理に関するバッファオーバーフローの脆弱性により、信頼できないアプレットまたは Java Web Start アプリケーションが権限を昇格できるようになる可能性があります。たとえば、信頼できないアプレットがローカルファイルの読み書き権限をそれ自体に与えたり、信頼できないアプレットを実行するユーザーがアクセス可能なローカルアプリケーションを実行したりする可能性があります。（CVE-2009-3869）

- Java Runtime Environment の画像ファイル処理に関するバッファオーバーフローの脆弱性により、信頼できないアプレットまたは Java Web Start アプリケーションが権限を昇格できるようになる可能性があります。たとえば、信頼できないアプレットがローカルファイルの読み書き権限をそれ自体に与えたり、信頼できないアプレットを実行するユーザーがアクセス可能なローカルアプリケーションを実行したりする可能性があります。（CVE-2009-3871）

- Java Runtime Environment の JPEG 画像の処理に関する整数オーバーフローの脆弱性により、信頼できないアプレットまたは Java Web Start アプリケーションが権限を昇格できるようになる可能性があります。たとえば、信頼できないアプレットがローカルファイルの読み書き権限をそれ自体に与えたり、信頼できないアプレットを実行するユーザーがアクセス可能なローカルアプリケーションを実行したりする可能性があります。（CVE-2009-3874）

- Java Runtime Environment には Java Web Start 技術が含まれており、これは Java Web Start の ActiveX コントロールを使用して Internet Explorer で Java Web Start を起動します。Java Web Start ActiveX コントロールで使用される Microsoft Visual Studio の様々なリリース内の Active Template Library （ATL）のセキュリティ脆弱性によって、Java Web Start ActiveX コントロールが任意のコード実行に利用される可能性があります。これは、 Java Runtime Environment のユーザーが、この脆弱性を悪用する特別に細工された Web ページを閲覧することで発生する場合があります。（CVE-2009-2493）

http://www.ibm.com/developerworks/java/jdk/alerts/ も参照してください。