CVE-2009-0217 xmlsec1、mono、xml-security-c、xml-security-1.3.0-1jpp.ep1.*：XMLDsig HMAC ベースの署名なりすましおよび認証バイパス

CVE-2009-2670 OpenJDK 信頼できないアプレットのシステムプロパティアクセス（6738524）

CVE-2009-2671 CVE-2009-2672 OpenJDK プロキシメカニズムの情報漏洩（6801071）

CVE-2009-2673 OpenJDK プロキシメカニズムにより、認証されていないソケット接続が可能（6801497）

CVE-2009-2674 Java Web Start Buffer JPEG 処理の整数オーバーフロー（6823373）

CVE-2009-2675 Java Web Start Buffer unpack200 処理の整数オーバーフロー（6830335）

CVE-2009-2625 OpenJDK XML 解析のサービス拒否（6845701）

CVE-2009-2475 OpenJDK 複数の変数における情報漏洩（6588003、6656586、6656610、6656625、6657133、6657619、6657625、6657695、6660049、6660539、6813167）

CVE-2009-2476 OpenJDK OpenType チェックがバイパスされる可能性がある（6736293）

CVE-2009-2689 OpenJDK JDK13Services が不必要な権限を付与します（6777448）

CVE-2009-2690 OpenJDK プライベート変数の情報漏洩（6777487）

JRE の XML デジタル署名の実装が HMAC ベースの XML 署名を処理する方法に欠陥が見つかりました。攻撃者がこの欠陥を利用して、細工された署名を作成し、認証をバイパスしたり、ユーザー、アプレットまたはアプリケーションを欺いて信頼できないコンテンツを承認させるようにしたりする可能性があります。（CVE-2009-0217）

様々な情報漏洩の可能性のある課題がさまざまなミュート可能な静的変数で見つかりました。これらは、信頼できないスクリプトコードを実行するアプリケーションシナリオで悪用される可能性があります。（CVE-2009-2475）

OpenType チェックをバイパスできることが分かりました。これにより、不正なアプリケーションが、ファイナライザの復活により権限のあるオブジェクトへの参照を取得することで、アクセス制限をバイパスする可能性があります。
（CVE-2009-2476）

JRE が XML を処理する方法にサービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して細工された XML を送信し、サービス拒否を起こす可能性があります。（CVE-2009-2625）

JRE オーディオシステムに欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、制限されたシステムプロパティへの読み取りアクセスを取得する可能性があります。（CVE-2009-2670）

JRE プロキシ実装に 2 つの欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこれらの欠陥を利用して、アプレットおよびアプリケーションを実行するユーザーのユーザー名を発見したり、Web ブラウザのクッキーを取得してそれらをセッションハイジャック攻撃に使用したりする可能性があります。（CVE-2009-2671、CVE-2009-2672）

プロキシメカニズム実装に新たな欠陥が見つかりました。
この欠陥により、信頼できないアプレットまたはアプリケーションがアクセス制限をバイパスし、認証されていないソケットまたは URL 接続を使用して元のホスト以外のホストに接続できました。（CVE-2009-2673）

JRE が JPEG イメージを処理する方法に整数オーバーフローの欠陥が見つかりました。信頼できないアプリケーションがこの欠陥を利用してその権限を拡大し、ローカルファイルを読み書きしたり、アプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。（CVE-2009-2674）

JRE unpack200 機能に整数オーバーフローの欠陥が見つかりました。
信頼できないアプレットまたはアプリケーションがその権限を拡大して、ローカルファイルを読み書きしたり、アプレットまたはアプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。（CVE-2009-2675）

JDK13Services が特定のオブジェクトタイプに不要な権限を与えていることが分かりました。信頼できないアプレットまたはアプリケーションがこれを悪用して、本来は制限された機能を使用する可能性があります。（CVE-2009-2689）

Java のプライベート変数処理方法に情報漏洩の欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、本来はプライベートな変数から情報を取得する可能性があります。（CVE-2009-2690）

注：このアドバイザリのアプレットに関係する欠陥（CVE-2009-2475、

CVE-2009-2670、CVE-2009-2671、 CVE-2009-2672、CVE-2009-2673、

CVE-2009-2675、CVE-2009-2689、および CVE-2009-2690）は、「appletviewer」アプリケーションを呼び出すことで、java-1.6.0-openjdk でのみ発生可能です。

更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

検出

Scientific Linux セキュリティ更新：SL5.3 i386/x86_64 の java-1.6.0-openjdk

critical Nessus プラグイン ID 60633

変更ログが見つかりません