Amazon Linux AMI：java-1.6.0-openjdk（ALAS-2014-283）
critical Nessus プラグイン ID 72301
Language:
概要
リモート Amazon Linux AMI ホストに、セキュリティ更新がありません。説明
2D コンポーネントのフォントレイアウトエンジンに、入力検証の欠陥が見つかりました。特別に細工されたフォントファイルが処理されると、 Java 仮想マシンのメモリ破損が発生する可能性があります。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、 Java サンドボックスの制限をバイパスする可能性があります。（CVE-2013-5907）OpenJDK での CORBA および JNDI のコンポーネントに、複数の不適切な権限チェックの問題が発見されました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。
（CVE-2014-0428、CVE-2014-0422）
OpenJDK のサービサビリティ、セキュリティ、CORBA、JAAS、JAXP、およびネットワーキングの各コンポーネントに、複数の不適切な権限チェックの問題が発見されました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。(CVE-2014-0373 , CVE-2013-5878 , CVE-2013-5910 , CVE-2013-5896 , CVE-2013-5884 , CVE-2014-0416 , CVE-2014-0376 , CVE-2014-0368)
Beans コンポーネントは、XML 外部エンティティの処理を制限していないことが判明しました。この欠陥により、Beans を使用する Java アプリケーションが機密情報を漏洩させたり、アプリケーションの可用性に影響を与えたりする可能性があります。（CVE-2014-0423）
JSSE コンポーネントが、TLS/SSL ハンドシェイク中にタイミング情報を漏洩する可能性があることが判明しました。これにより、使用済み暗号化キーに関する情報が漏洩される可能性があります。
（CVE-2014-0411）
ソリューション
「yum update java-1.6.0-openjdk」を実行してシステムを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 72301
ファイル名: ala_ALAS-2014-283.nasl
バージョン: 1.7
タイプ: local
エージェント: unix
公開日: 2014/2/5
更新日: 2018/4/18
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Critical
基本値: 10
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
脆弱性情報
CPE: p-cpe:/a:amazon:linux:java-1.6.0-openjdk, p-cpe:/a:amazon:linux:java-1.6.0-openjdk-debuginfo, p-cpe:/a:amazon:linux:java-1.6.0-openjdk-demo, p-cpe:/a:amazon:linux:java-1.6.0-openjdk-devel, p-cpe:/a:amazon:linux:java-1.6.0-openjdk-javadoc, p-cpe:/a:amazon:linux:java-1.6.0-openjdk-src, cpe:/o:amazon:linux
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
パッチ公開日: 2014/2/3
参照情報
CVE: CVE-2013-5878, CVE-2013-5884, CVE-2013-5896, CVE-2013-5907, CVE-2013-5910, CVE-2014-0368, CVE-2014-0373, CVE-2014-0376, CVE-2014-0411, CVE-2014-0416, CVE-2014-0422, CVE-2014-0423, CVE-2014-0428