CentOS 5：java-1.6.0-openjdk（CESA-2011:0176）
medium Nessus プラグイン ID 53415
Language:
概要
リモート CentOS ホストに１つ以上のセキュリティ更新がありません。説明
2 つのセキュリティ問題を修正する更新版の java-1.6.0-openjdk パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。javaws コマンドは、Java Web Start アプリケーションの起動に使用できます。
パブリックスタティックフィールド宣言により、信頼されていない JNLP（Java Network Lanching Protocol）アプリケーションで権限のあるデータが読み取られる可能性があります。リモートの攻撃者は、信頼されていないアプリケーションの読み取りが許可されていない「user.name」、「user.home」、「java.home」などの制限されたシステムプロパティの値を直接的または間接的に読み込むことができます。
(CVE-2010-3860)
JNLPSecurityManager が、権限が拒否された際に例外のスローなしで、ダイアログを表示せずにリターンできることが判明しました。javaws コマンドが、この例外のスローに依存する Java Web Start アプリケーションを起動するために使用されると、昇格された権限でアプリケーションが実行されることがあります。これにより、セキュリティマネージャーの制限をバイパスし、特権のある機能にアクセスできる可能性があります。
(CVE-2010-4351)
注：RHSA-2010:0339 java-1.6.0-openjdk は誤って、インストールされている javaws を更新しています。CVE-2010-3860 および CVE-2010-4351 の修正プログラムの一部として、この更新では javaws が削除されます。
Red Hat は、CVE-2010-4351 を報告した TippingPoint Zero Day イニシアチブプロジェクトに感謝の意を表します。問題の最初の報告者は、匿名を希望しています。
また、このエラータは、OpenJDK パッケージを IcedTea6 1.7.7 にアップグレードします。
詳細については、「参照」にリンクがある NEWS ファイルを参照してください。
java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。
ソリューション
影響を受けた java-1.6.0-openjdk パッケージを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 53415
ファイル名: centos_RHSA-2011-0176.nasl
バージョン: 1.10
タイプ: local
エージェント: unix
ファミリー: CentOS Local Security Checks
公開日: 2011/4/15
更新日: 2021/1/4
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.8
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5.9
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
脆弱性情報
CPE: p-cpe:/a:centos:centos:java-1.6.0-openjdk, p-cpe:/a:centos:centos:java-1.6.0-openjdk-demo, p-cpe:/a:centos:centos:java-1.6.0-openjdk-devel, p-cpe:/a:centos:centos:java-1.6.0-openjdk-javadoc, p-cpe:/a:centos:centos:java-1.6.0-openjdk-src, cpe:/o:centos:centos:5
必要な KB アイテム: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2011/4/14
脆弱性公開日: 2010/12/8
参照情報
CVE: CVE-2010-3860, CVE-2010-4351
RHSA: 2011:0176