Red Hat セキュリティアドバイザリ 2011:1100 から：

2 つのセキュリティ問題を修正する更新済みの icedtea-web パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

IcedTea-Web プロジェクトは、Java Web ブラウザのプラグインおよび Netx プロジェクトに基づく Java Web Start の実装を提供しています。
また、プラグインおよび Web Start 実装のデプロイメント設定を管理する構成ツールも含んでいます。

IcedTea-Web での JNLP（Java Network Launching Protocol）の実装で欠陥が発見されました。署名のない Java Web Start アプリケーションがこの欠陥を利用して、セキュリティ警告ダイアログボックスの内容を操作し、ユーザーを騙して、ローカルのファイルへの意図しないアクセス権限を付与させる可能性があります。(CVE-2011-2514)

IcedTea-Web での JNLP の実装で、情報漏洩の欠陥が発見されました。署名のない Java Web Start アプリケーションまたは Java アプレットがこの欠陥を利用して、ダウンロードされた Java クラスおよびアーカイブファイルを保存するために使用されるキャッシュディレクトリへのパスを判断し、ユーザーのログイン名を判断する可能性があります。(CVE-2011-2513)

すべての icedtea-web ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。

検出

Oracle Linux 6：icedtea-web（ELSA-2011-1100）

medium Nessus プラグイン ID 68314

変更ログが見つかりません