Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の java-1.6.0-openjdk

medium Nessus プラグイン ID 60942

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

パブリックスタティックフィールド宣言により、信頼されていない JNLP（Java Network Lanching Protocol）アプリケーションで権限のあるデータが読み取られる可能性があります。リモートの攻撃者は、信頼されていないアプリケーションの読み取りが許可されていない「user.name」、「user.home」、「java.home」などの制限されたシステムプロパティの値を直接的または間接的に読み込むことができます。
（CVE-2010-3860）

JNLPSecurityManager が、権限が拒否された際に例外のスローなしで、ダイアログを表示せずにリターンできることが判明しました。javaws コマンドが、この例外のスローに依存する Java Web Start アプリケーションを起動するために使用されると、昇格された権限でアプリケーションが実行されることがあります。これにより、セキュリティマネージャーの制限をバイパスし、特権のある機能にアクセスできる可能性があります。
（CVE-2010-4351）

注：以前の java-1.6.0-openjdk は誤って、インストールされている javaws を更新しています。CVE-2010-3860 および CVE-2010-4351 の修正プログラムの一部として、この更新では javaws が削除されます。

また、このエラータは、OpenJDK パッケージを IcedTea6 1.7.7 にアップグレードします。
詳細については、「参照」にリンクがある NEWS ファイルを参照してください。

更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。