Scientific Linux セキュリティ更新：SL3.x、SL4.x i386/x86_64 の jdk（java）
high Nessus プラグイン ID 60344
言語 :
New! Vulnerability Priority Rating (VPR)
Tenable では、すべての脆弱性に対して動的な VPR が計算されます。VPR は脆弱性の情報を、脅威インテリジェンスや機械学習アルゴリズムと組み合わせて、攻撃時に最も悪用される可能性の高い脆弱性を予測します。詳細は、 「VPR とは何で、CVSS とはどう違うのか」を参照してください。
VPR スコア : 7.4
概要
リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。説明
注：j2sdk-1.4.2 with jdk-1.5.0 はこの rpm の組み合わせに置き換わります。そのため、java は、バージョン 1.4.2 から 1.5.0 に変更されます。これにより、問題が生じる場合は申し訳ございません。これは、セキュリティ面で必要であることをご了承ください。
Java Runtime Environment（JRE）のアプレットキャッシュメカニズムの欠陥により、ネットワーク接続の作成が適切に処理されません。リモートの攻撃者が、この欠陥を利用して、アプレットのダウンロード元以外のマシンでサービスへの接続を作成する可能性があります。
（CVE-2007-5232）
Java Web Start に存在する複数の脆弱性により、信頼されないアプリケーションが Java Web Start キャッシュの場所を特定できる可能性があります。（CVE-2007-5238）
信頼されない Java Web Start アプリケーションまたは Java アプレットが、デスクトップアプリケーションにファイルをドラッグアンドドロップすることが可能でした。ユーザーに支援されたリモートの攻撃者が、この欠陥を利用して、任意のファイルを移動またはコピーする可能性があります。
（CVE-2007-5239）
Java Runtime Environment（JRE）で、信頼されていない Java アプレットまたはアプリケーションが大きすぎるサイズのウィンドウを表示できる可能性があります。リモートの攻撃者がこれを利用してセキュリティ警告バナーを隠す可能性があります。（CVE-2007-5240）
HTTP プロキシ経由で通信している未署名の Java アプレットを利用して、リモートの攻撃者が Java セキュリティモデルに違反する可能性があります。キャッシュされた悪意あるアプレットが他のマシンのサービスへのネットワーク接続を作成する可能性があります。（CVE-2007-5273）
Mozilla Firefox または Opera のブラウザと共に読み込まれる未署名のアプレットを利用して、リモートの攻撃者が Java セキュリティモデルに違反する可能性がありました。キャッシュされた悪意あるアプレットが他のマシンのサービスへのネットワーク接続を作成する可能性があります。（CVE-2007-5274）Javadocツールがクロスサイトスクリプティング（XSS）の脆弱性が含まれる HTML ドキュメントページを生成することが可能でした。リモートの攻撃者が、これを利用して、任意の Web スクリプトまたは HTML を注入する可能性があります。（CVE-2007-3503）
Java Web Start URL 解析コンポーネントの、JNLP ファイルの解析コード内にバッファオーバーフローの脆弱性が含まれていました。リモートの攻撃者が、悪意のある JNLP ファイルを作成し、このファイルが開かれた場合、この欠陥を発生させ、任意のコードを実行する可能性があります。（CVE-2007-3655）
JSSE コンポーネントが SSL/TLS ハンドシェイクリクエストを適切に処理しませんでした。JSSE ベースのサービスに接続できるリモートの攻撃者が、この欠陥をトリガーすることにより、サービス拒否を発生させる可能性があります。
（CVE-2007-3698）
アプレットクラスローダーに欠陥が見つかりました。信頼されないアプレットが、この欠陥を利用して、ネットワークアクセス制限を回避し、アプレットを実行したマシンでホストされているサービスに接続する可能性があります。
（CVE-2007-3922）
ソリューション
影響を受ける java-1.4.2-sun-compat、java-1.5.0-sun-compat、および jdk パッケージを更新してください。関連情報
プラグインの詳細
深刻度: High
ID: 60344
ファイル名: sl_20080114_jdk__java__on_SL3_x.nasl
バージョン: 1.7
タイプ: local
エージェント: unix
公開日: 2012/8/1
更新日: 2021/1/14
依存関係: ssh_get_info.nasl
リスク情報
リスクファクター: High
VPR スコア: 7.4
CVSS v2.0
Base Score: 7.8
ベクトル: AV:N/AC:L/Au:N/C:N/I:N/A:C
脆弱性の情報
CPE: x-cpe:/o:fermilab:scientific_linux
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/RedHat/release, Host/RedHat/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2008/1/14
脆弱性公開日: 2007/6/29
エクスプロイト可能
Core Impact
参照情報
CVE: CVE-2007-3503, CVE-2007-3655, CVE-2007-3698, CVE-2007-3922, CVE-2007-5232, CVE-2007-5238, CVE-2007-5239, CVE-2007-5240, CVE-2007-5273, CVE-2007-5274