Red Hat セキュリティアドバイザリ 2012:0135 から：

複数のセキュリティ問題を修正する、更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。

Java2D が、グラフィックスレンダリングオブジェクトをネイティブレンダラーに受け渡す前に、オブジェクトを適切にチェックしていないことが発見されました。
悪意ある入力、または信頼できない Java アプリケーションやアプレットがこの欠陥を利用することにより、 Java 仮想マシン（JVM）のクラッシュを引き起こしたり、Java サンドボックスの制限をバイパスする可能性があります。(CVE-2012-0497)

逆シリアル化の障害で発生した例外が、障害の原因を示す適切な ID を含んでいない場合があることが判明しました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用することにより、 Java サンドボックスの制限をバイパスする可能性があります。(CVE-2012-0505)

配列が予期していた Object[] タイプの場合、AtomicReferenceArray クラスの実装はチェックを適切に行いませんでした。悪意ある Java アプリケーションやアプレットが、この欠陥を利用することにより、 Java サンドボックスの制限をバイパスする可能性があります。(CVE-2011-3571)

TimeZone.setDefault() の使用が SecurityManager により制限されていないことが判明しました。これにより、信頼されない Java アプリケーションやアプレットが新しいタイムゾーンをデフォルトに設定し、結果として Java サンドボックスの制限をバイパスすることが可能です。(CVE-2012-0503)

HttpServer クラスが、HTTP リクエストが読み取るヘッダー数を制限しませんでした。リモートの攻撃者が、この欠陥を利用することにより、特別に細工されたリクエストで HttpServer を使用するアプリケーションに過度に長い CPU 時間を使用させる可能性があります。この更新により、 sun.net.httpserver.maxReqHeaders プロパティを正しく使用して、ヘッダーカウント限度をコントロールできるようになります。デフォルトの値は 200 です。(CVE-2011-5035)

Java Sound コンポーネントが、バッファ境界を正しくチェックしませんでした。
悪意ある入力、または信頼されない Java アプリケーションやアプレットが、この欠陥を利用することにより、 Java 仮想マシン（JVM）のクラッシュを引き起こしたり、メモリの一部を漏洩する可能性があります。(CVE-2011-3563)

AWT KeyboardFocusManager に欠陥が見つかりました。これにより、信頼できない Java アプリケーションやアプレットがキーボードにフォーカスし、機密情報を窃取する可能性があります。(CVE-2012-0502)

Java の CORBA（共通オブジェクトリクエストブローカアーキテクチャ）実装が、特定の CORBA オブジェクトのリポジトリ識別子を適切に保護していないことが判明しました。これを使用することにより、変更不可のオブジェクトデータが変更される可能性があります。(CVE-2012-0506)

ZIP ファイル向けのアンパッカーにスタックオーバーフローを引き起こす off-by-one の欠陥が見つかりました。特別に細工された zip アーカイブが開けられた場合、 Java 仮想マシン（JVM）のクラッシュが引き起こされる可能性があります。(CVE-2012-0501)

注：icedtea-web パッケージが提供する Web ブラウザプラグインをインストールしている場合、ユーザーが悪意ある Web サイトにアクセスすると、 Java アプレットにより引き起こされる問題がユーザインタラクションなしに悪用される可能性があります。

また、このエラータは、OpenJDK パッケージを IcedTea6 1.10.6 にアップグレードします。
詳細については、「参照」にリンクがある NEWS ファイルを参照してください。

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

検出

Oracle Linux 6：java-1.6.0-openjdk（ELSA-2012-0135）

critical Nessus プラグイン ID 68459

変更ログが見つかりません