リモート Redhat Enterprise Linux 6 ホストに、RHSA-2012:1009 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    これらのパッケージは、OpenJDK 7 Java Runtime Environment および OpenJDK 7 ソフトウェア開発キットを提供します。

    Java による CORBA（共通オブジェクトリクエストブローカーアーキテクチャ）実装で複数の欠陥が見つかりました。悪質な Java アプリケーションやアプレットが、これらの欠陥を利用して、Java サンドボックスの制限をバイパスしたり、変更不可のオブジェクトデータを変更したりする可能性があります。(CVE-2012-1711、CVE-2012-1719)

    Swing の SynthLookAndFeel クラスが、現在のアプリケーションコンテキスト外からの特定の UI 要素へのアクセスを適切に阻止していないことが判明しました。悪質な Java アプリケーションやアプレットがこの欠陥を利用することで、Java 仮想マシンのクラッシュを引き起こしたり、Java サンドボックスの制限をバイパスしたりする可能性があります。(CVE-2012-1716)

    フォントマネージャのレイアウト検索実装で複数の欠陥が発見されました。特別に細工されたフォントファイルにより、Java 仮想マシンがクラッシュしたり、仮想マシンを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。(CVE-2012-1713)

    Java HotSpot 仮想マシンが、実行するクラスファイルのバイトコードを検証する方法で、複数の欠陥が見つかりました。特別に細工された Java アプリケーションやアプレットが、これらの欠陥を利用することで、Java 仮想マシンをクラッシュさせたり、Java サンドボックスの制限をバイパスしたりする可能性があります。(CVE-2012-1723、CVE-2012-1725)

    java.lang.invoke.MethodHandles.Lookup が適切にアクセスモードを反映していないことが判明しました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。(CVE-2012-1726)

    Java XML パーサーが特定の XML ドキュメントを適切に処理しないことが判明しました。特別に細工された XML ファイルを Java アプリケーションに解析させることのできる攻撃者が、この欠陥を利用して、XML パーサーを無限ループに陥らせる可能性があります。(CVE-2012-1724)

    Java セキュリティクラスが証明書失効リスト（CRL）を適切に処理しないことが判明しました。重複証明書のシリアル番号のあるエントリを含む CRL が無視された可能性があります。(CVE-2012-1718)

    さまざまなクラスの Java Runtime ライブラリが、安全でない権限で一時ファイルを作成する可能性があることが判明しました。ローカル攻撃者が、この欠陥を利用して、このような一時ファイルのコンテンツへアクセスできるようになる可能性があります。
    (CVE-2012-1717)

    この更新では、以下のバグも修正されます:

    * jstack タップセットを使用して、SystemTap スクリプトをコンパイルしようとすると、次のようなエラーにより失敗する可能性がありました。

    エラー：フレームサイズが 272 バイトで 256 バイトより大きいです

    この更新は、jstack タップセットを修正し、この問題を解決します。(BZ#833035)

    また、このエラータは、OpenJDK パッケージを IcedTea7 2.2.1 にアップグレードします。詳細については、「参照」にリンクがある NEWS ファイルを参照してください。

    java-1.7.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 6 : java-1.7.0-openjdk (RHSA-2012:1009)

critical Nessus プラグイン ID 59637

変更ログが見つかりません