更新 java-1.7.0-openjdk パッケージは、セキュリティの脆弱性を修正します。

2D コンポーネント内の medialib ライブラリで、入力検証の欠陥が発見されました。特別に細工された画像が処理されると、 Java 仮想マシンのメモリ破損を誘発することがあります。リモートの攻撃者、または信頼できない Java アプリケーションやアプレットは、この欠陥を利用して、Java 仮想マシンを実行しているユーザーの権限で、任意のコードを実行する可能性があります（CVE-2014-0429）。

OpenJDK 内のホットスポットおよび 2D コンポーネントで、複数の欠陥が発見されました。信頼できない Java アプリケーションやアプレットは、これらの欠陥を利用して、Java 仮想マシンのメモリ破損を発生させることや、Java サンドボックスの制限をバイパスする可能性があります（CVE-2014-0456、CVE-2014-2397、CVE-2014-2421）。

OpenJDK のライブラリコンポーネントに、複数の不適切な権限チェックの問題が見つかりました。信頼できない Java アプリケーションまたは Java アプレットは、これらの欠陥を利用して、Java サンドボックスの制限をバイパスすることがあります（CVE-2014-0457、CVE-2014-0455、CVE-2014-0461）。

OpenJDK 内の AWT、JAX-WS、JAXB、ライブラリ、セキュリティ、サウンド、および 2D のコンポーネントで、複数の不適切な権限チェックの問題が発見されました。信頼できない Java アプリケーションまたは Java アプレットは、これらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります（CVE-2014-2412、CVE-2014-0451、CVE-2014-0458、CVE-2014-2423、CVE-2014-0452、CVE-2014-2414、CVE-2014-2402、CVE-2014-0446、CVE-2014-2413、CVE-2014-0454、CVE-2014-2427、CVE-2014-0459）。

Java Naming および ディレクトリインターフェイス（JNDI）DNS クライアントで複数の欠陥が発見されました。これらの欠陥により、リモートの攻撃者は、DNS なりすまし攻撃をより簡単に仕掛ける可能性があります（CVE-2014-0460）。

SecurityManager が実在する場合、JAXP コンポーネントは、任意のファイルへのアクセスを適切に阻止していないことが判明しました。この欠陥により、JAXP を使用している Java アプリケーションに機密情報を漏洩させることや、アプリケーションの可用性に影響を与える可能性があります（CVE-2014-2403）。

OpenJDK 内のセキュリティコンポーネントが、PKCS#1 のパディング解除を実行している際に、一部のタイミング情報を漏洩する可能性があることが判明しました。これにより、暗号化で保護されることになっていた一部の情報が漏洩される可能性があります（CVE-2014-0453）。

CVE-2013-5797 の修正で、javadoc の入力サニタイズの欠陥が適切に解決されていないことが判明しました。javadoc 文書が、信頼できない Java ソースコードから生成され、さらにコードの作者が管理していないドメインでホストされていた場合、これらの問題により、クロスサイトスクリプティング（XSS）攻撃をより簡単に仕掛ける可能性があります（CVE-2014-2398）。

unpack200 ユーティリティがログファイルを作成する方法で、安全ではない一時ファイルの使用に欠陥が見つかりました。ローカルの攻撃者は、この欠陥を利用して、シンボリックリンク攻撃を仕掛けたり、unpack200 を実行しているユーザーの権限で、任意のファイルを上書きしたりする可能性があります（CVE-2014-1876）。

注意：CVE-2014-0459 の問題が lcms2 ライブラリにあります。この欠陥を修正するためにパッチが適用されました。

検出

Mandriva Linux セキュリティアドバイザリ：java-1.7.0-openjdk（MDVSA-2014:100）

critical Nessus プラグイン ID 74078

変更ログが見つかりません