1 つのセキュリティ問題およびバグを修正する更新済みの java-1.4.2-ibm パッケージが、Red Hat Enterprise Linux 3 Extras、Red Hat Enterprise Linux 4 Extras、および Red Hat Enterprise Linux 5 Supplementary で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

IBM 1.4.2 SR13-FP4 Java リリースには、IBM Java 2 Runtime Environment および IBM Java 2 ソフトウェア開発キットが含まれています。

TLS/SSL（Transport Layer Security/Secure Sockets Layer）プロトコルがセッションの再ネゴシエーションを処理過程に欠陥が見つかりました。
中間攻撃者は、この欠陥を利用して、クライアントのセッションに任意のプレーンテキストを前置する可能性があります（例えば、 Web サイトへの HTTPS 接続）。これにより、攻撃者のリクエストをまるで被害者の認証情報を使用して認証されたかのようにサーバーに無理に処理させることができます。
（CVE-2009-3555）

この更新は、Java Secure Socket Extension（JSSE）コンポーネントの非デフォルト IBM JSSE2 プロバイダーにおける再ネゴシエーションを無効化します。デフォルトの JSSE プロバイダーは、この修正で更新されていません。デフォルトで JSSE2 プロバイダーを使用するために IBM Java 2 Runtime Environment を構成する方法の説明については、リファレンスでリンクされている、IBMJSSE2 Provider Reference Guide を参照してください。

JSSE2 プロバイダーを使用すると、安全でない再ネゴシエーションが、com.ibm.jsse2.renegotiate プロパティを使用して再度有効化できます。詳細については、以下の Knowledge Base の記事を参照してください：
http://kbase.redhat.com/faq/docs/DOC-20491

この更新では以下のバグも修正されます。

* libjaasauth.so ファイルは、Intel Itanium アーキテクチャ（.ia64.rpm）の java-1.4.2-ibm パッケージから欠如しています。この更新では、Itanium アーキテクチャのパッケージにファイルを追加し、この問題を修正します。（BZ#572577）

java-1.4.2-ibm のユーザーはすべて、IBM 1.4.2 SR13-FP4 Java リリースが含まれる、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、IBM Java のすべての実行中のインスタンスを再起動する必要があります。

検出

RHEL 3 / 4 / 5：java-1.4.2-ibm（RHSA-2010:0155）

medium Nessus プラグイン ID 46272

変更ログが見つかりません