Oracle Linux 5/6：java-1.6.0-openjdk（ELSA-2014-0097）
critical Nessus プラグイン ID 72160
Language:
概要
リモート Oracle Linux ホストに、1 つ以上のセキュリティ更新がありません。説明
Red Hat セキュリティアドバイザリ 2014:0097 から：さまざまなセキュリティの課題を修正する更新 java-1.6.0-openjdk パッケージが、現時点で Red Hat Enterprise Linux 5 と 6 に対して利用可能です。
Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 Java ソフトウェア開発キットを提供します。
2D コンポーネントのフォントレイアウトエンジンに、入力検証の欠陥が見つかりました。特別に細工されたフォントファイルが処理されると、 Java 仮想マシンのメモリ破損が発生する可能性があります。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、 Java サンドボックスの制限をバイパスする可能性があります。（CVE-2013-5907）
OpenJDK での CORBA および JNDI のコンポーネントに、複数の不適切な権限チェックの問題が発見されました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。
（CVE-2014-0428、CVE-2014-0422）
OpenJDK のサービサビリティ、セキュリティ、CORBA、JAAS、JAXP、およびネットワーキングの各コンポーネントに、複数の不適切な権限チェックの問題が発見されました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-0373、CVE-2013-5878、CVE-2013-5910、CVE-2013-5896、CVE-2013-5884、CVE-2014-0416、CVE-2014-0376、CVE-2014-0368）
Beans コンポーネントは、XML 外部エンティティの処理を制限していないことが判明しました。この欠陥により、Beans を使用する Java アプリケーションが機密情報を漏洩させたり、アプリケーションの可用性に影響を与えたりする可能性があります。（CVE-2014-0423）
JSSE コンポーネントが、TLS/SSL ハンドシェイク中にタイミング情報を漏洩する可能性があることが判明しました。これにより、使用済み暗号化キーに関する情報が漏洩される可能性があります。
（CVE-2014-0411）
java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。
ソリューション
影響を受けた java-1.6.0-openjdk パッケージを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 72160
ファイル名: oraclelinux_ELSA-2014-0097.nasl
バージョン: 1.13
タイプ: local
エージェント: unix
公開日: 2014/1/28
更新日: 2024/10/22
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2014-0428
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2013-5907
脆弱性情報
CPE: p-cpe:/a:oracle:linux:java-1.6.0-openjdk-devel, p-cpe:/a:oracle:linux:java-1.6.0-openjdk-javadoc, cpe:/o:oracle:linux:5, p-cpe:/a:oracle:linux:java-1.6.0-openjdk, p-cpe:/a:oracle:linux:java-1.6.0-openjdk-src, p-cpe:/a:oracle:linux:java-1.6.0-openjdk-demo, cpe:/o:oracle:linux:6
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2014/1/28
脆弱性公開日: 2014/1/15
参照情報
CVE: CVE-2013-5878, CVE-2013-5884, CVE-2013-5896, CVE-2013-5907, CVE-2013-5910, CVE-2014-0368, CVE-2014-0373, CVE-2014-0376, CVE-2014-0411, CVE-2014-0416, CVE-2014-0422, CVE-2014-0423, CVE-2014-0428
RHSA: 2014:0097