Red Hat セキュリティアドバイザリ 2014:0026 から：

さまざまなセキュリティの課題を修正する更新 java-1.7.0-openjdk パッケージが、現時点で Red Hat Enterprise Linux 6 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

これらのパッケージは、OpenJDK 7 Java Runtime Environment および OpenJDK 7 ソフトウェア開発キットを提供します。

2D コンポーネントのフォントレイアウトエンジンに、入力検証の欠陥が見つかりました。特別に細工されたフォントファイルが処理された場合、 Java 仮想マシンのメモリ破損が発生する可能性があります。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、 Java サンドボックスの制限をバイパスする可能性があります。（CVE-2013-5907）

OpenJDK の CORBA、JNDI、およびライブラリコンポーネントに、複数の不適切な権限チェックの問題が発見されました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-0428、 CVE-2014-0422、CVE-2013-5893）

OpenJDK のサービサビリティ、セキュリティ、CORBA、JAAS、JAXP、およびネットワーキングの各コンポーネントに、複数の不適切な権限チェックの問題が発見されました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368）

Beans コンポーネントは、XML 外部エンティティの処理を制限していないことが判明しました。この欠陥により、Beans を使用する Java アプリケーションが機密情報を漏洩させたり、アプリケーションの可用性に影響を与えたりする可能性があります。（CVE-2014-0423）

JSSE コンポーネントが、TLS/SSL ハンドシェイク中にタイミング情報を漏洩する可能性があることが判明しました。これにより、使用された暗号化キーに関する情報漏洩が発生する可能性があります。
（CVE-2014-0411）

注：RHBA-2013:1611 を通して Red Hat Enterprise Linux 6.5 に付属している java-1.7.0-openjdk パッケージは、プロバイダーリスト内で「java7」を「java」に置き換えました。この更新では、Red Hat Enterprise Linux 6.5 より前のリリースとの下位互換性を維持するために、プロバイダーリストに「java7」を追加し直します。

注：icedtea-web パッケージが提供する Web ブラウザプラグインをインストールしている場合、ユーザーが悪意ある Web サイトにアクセスすると、 Java アプレットにより引き起こされる問題がユーザインタラクションなしに悪用される可能性があります。

java-1.7.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

検出

Oracle Linux 6：java-1.7.0-openjdk（ELSA-2014-0026）

critical Nessus プラグイン ID 71984

バージョン 1.17