Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の java-1.6.0-openjdk
critical Nessus プラグイン ID 62618
Language:
概要
リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。説明
OpenJDK の Beans、Swing、JMX コンポーネントに、不適切な権限チェックの問題が複数見つかりました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。（CVE-2012-5086、 CVE-2012-5084、CVE-2012-5089）OpenJDK の Scripting、JMX、Concurrency、Libraries、および Security コンポーネントに、不適切な権限チェックの問題が複数発見されました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。（CVE-2012-5068、CVE-2012-5071、CVE-2012-5069、 CVE-2012-5073、CVE-2012-5072）
プロバイダー検索の実行中に、java.util.ServiceLoader が非互換クラスのインスタンスを作成する可能性があることが判明しました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。（CVE-2012-5079）
Java Secure Socket Extension（JSSE）SSL/TLS の実装で、過度に長いデータ長の値が含まれるハンドシェイクレコードが適切に処理されないことが判明しました。認証されていないリモートの攻撃者がこの欠陥を利用して、SSL/TLS サーバーを例外で停止させる可能性があります。（CVE-2012-5081）
OpenJDK の JMX コンポーネントが、安全でない方法で特定のアクションを実行する可能性があることが判明しました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、機密情報を漏洩する可能性があります。（CVE-2012-5075）
Java HotSpot 仮想マシン最適化コードのバグによって、特定の場合に配列初期化が実行されない可能性があります。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、仮想マシンのメモリの一部が漏洩する可能性があります。（CVE-2012-4416）
SecureRandom クラスが、複数シーダーの作成に対して適切に保護を行わないことが判明しました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、機密情報を漏洩する可能性があります。（CVE-2012-5077）
java.io.FilePermission クラスが、正規化されたパス名のハッシュコードを公開することが判明しました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、現在の作業ディレクトリなどの特定のシステムパスを決定する可能性があります。
（CVE-2012-3216）
デフォルトで、この更新は java.net パッケージの Gopher プロトコルサポートを無効にします。Gopher サポートは、新しく導入された「jdk.net.registerGopherProtocol」プロパティを true（真）に設定することで有効になります。
（CVE-2012-5085）
注：icedtea-web パッケージが提供する Web ブラウザプラグインをインストールしている場合、ユーザーが悪意ある Web サイトにアクセスすると、 Java アプレットにより引き起こされる問題がユーザインタラクションなしに悪用される可能性があります。
また、このエラータは、OpenJDK パッケージを IcedTea6 1.11.5 にアップグレードします。
更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 62618
ファイル名: sl_20121017_java_1_6_0_openjdk_on_SL6_x.nasl
バージョン: 1.14
タイプ: local
エージェント: unix
公開日: 2012/10/18
更新日: 2021/1/14
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.0
CVSS v2
リスクファクター: Critical
Base Score: 10
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
脆弱性情報
CPE: p-cpe:/a:fermilab:scientific_linux:java-1.6.0-openjdk, p-cpe:/a:fermilab:scientific_linux:java-1.6.0-openjdk-demo, p-cpe:/a:fermilab:scientific_linux:java-1.6.0-openjdk-devel, p-cpe:/a:fermilab:scientific_linux:java-1.6.0-openjdk-javadoc, p-cpe:/a:fermilab:scientific_linux:java-1.6.0-openjdk-src, x-cpe:/o:fermilab:scientific_linux
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2012/10/17
脆弱性公開日: 2012/10/16
参照情報
CVE: CVE-2012-3216, CVE-2012-4416, CVE-2012-5068, CVE-2012-5069, CVE-2012-5071, CVE-2012-5072, CVE-2012-5073, CVE-2012-5075, CVE-2012-5077, CVE-2012-5079, CVE-2012-5081, CVE-2012-5084, CVE-2012-5085, CVE-2012-5086, CVE-2012-5089