2 つのセキュリティ問題を修正する更新済みの icedtea-web パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

IcedTea-Web プロジェクトは、Java Web ブラウザのプラグインおよび Netx プロジェクトに基づく Java Web Start の実装を提供しています。
また、プラグインおよび Web Start 実装のデプロイメント設定を管理する構成ツールも含んでいます。

IcedTea-Web プラグインが、異なるドメインから派生している場合でも、コードベース属性の同一値のあるアプレットの同一クラスローダーインスタンスを間違って使用したことが、発見されました。
悪意あるアプレットがこの欠陥を悪用して、ブラウザで現在実行中の異なるドメインのアプレットの情報を取得し、それらのアプレットを操作する可能性があります。(CVE-2013-1926)

IcedTea-Web プラグインがダウンロードされた Java Archive（JAR）ファイルの形式を適切にチェックしませんでした。これにより、異なる形式でファイルに隠されているコードをプラグインに実行させ、特別なファイルタイプのアップロードを許可する Web サイトのコンテキストで攻撃者がコードを実行することが可能です。これは、GIFAR 攻撃として知られています。
(CVE-2013-1927)

CVE-2013-1926 の課題が Red Hat OpenJDK チームの Jiri Vanek に発見され、 CVE-2013-1927 が Red Hat セキュリティレスポンスチームにより発見されました。

また、このエラータは、IcedTea-Web をバージョン 1.2.3 にアップグレードします。詳細については、「参照」にリンクがある NEWS ファイルを参照してください。

IcedTea-Web の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。この更新を有効にするには、IcedTea-Web ブラウザプラグインを使用する Web ブラウザを再起動する必要があります。

検出

RHEL 6：icedtea-web（RHSA-2013:0753）

medium Nessus プラグイン ID 66015

変更ログが見つかりません