CentOS 5/6/7：java-1.6.0-openjdk（CESA-2014:0907）
high Nessus プラグイン ID 76623
Language:
概要
リモート CentOS ホストに１つ以上のセキュリティ更新がありません。説明
複数のセキュリティ問題と 1 つのバグを修正する更新済みの java-1.6.0-openjdk パッケージが、Red Hat Enterprise Linux 5、6 および 7 で現在利用可能です。Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
java-1.6.0-openjdk パッケージには、OpenJDK 6 Java Runtime Environment および OpenJDK 6 Java ソフトウェア開発キットがあります。
OpenJDK のホットスポットコンポーネントがクラスファイルのバイトコードを適切に検証していないことが判明しました。信頼されない Java アプリケーションやアプレットが、これらの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-4216、CVE-2014-4219）
OpenJDK でのホットスポットコンポーネントイベントロガーに、書式文字列の欠陥が発見されました。信頼されていない Java アプリケーションまたはアプレットはこの欠陥を利用して java 仮想マシンをクラッシュさせることや、Java 仮想マシンの権限で任意のコードを実行する可能性があります。
（CVE-2014-2490）
OpenJDK の Libraries コンポーネントに、不適切な権限チェックの問題が見つかりました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用することにより、 Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-4262）
OpenJDK の JMX、ライブラリ、セキュリティおよびサービサビリティコンポーネントに、複数の欠陥が見つかりました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、 CVE-2014-4266）
OpenJDK でのセキュリティコンポーネントで、RSA アルゴリズムは、プライベートキーを使用する操作を行う際に、ブラインディングを十分に行っていないことが判明しました。攻撃者はこれらの操作のタイミング差を測り、使用されているキーの情報を漏洩する可能性があります。（CVE-2014-4244）
OpenJDK のセキュリティコンポーネントのディフィー・ヘルマン（DH）鍵交換アルゴリズムの実装が、パブリック DH パラメーターの適切な検証に失敗しました。これにより、OpenJDK が脆弱なパラメーターを承認して利用し、攻撃者がネゴシエートされたキーを復元できるようになります。（CVE-2014-4263）
CVE-2014-4262 の問題は、 Red Hat 製品セキュリティの Florian Weimer によって検出されました。
この更新では以下のバグも修正されます。
* この更新以前では、非同期の HashMap にアクセスするアプリケーションは、無限ループに陥ることや、過剰な CPU リソースを消費することがあります。この更新は、この問題を解決します。
（BZ#1115580）
java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。
ソリューション
影響を受けた java-1.6.0-openjdk パッケージを更新してください。参考資料
http://www.nessus.org/u?d5857578
プラグインの詳細
深刻度: High
ID: 76623
ファイル名: centos_RHSA-2014-0907.nasl
バージョン: 1.20
タイプ: local
エージェント: unix
ファミリー: CentOS Local Security Checks
公開日: 2014/7/22
更新日: 2021/1/4
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.5
CVSS v2
リスクファクター: High
基本値: 9.3
現状値: 6.9
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2014-2490
脆弱性情報
CPE: p-cpe:/a:centos:centos:java-1.6.0-openjdk, p-cpe:/a:centos:centos:java-1.6.0-openjdk-demo, p-cpe:/a:centos:centos:java-1.6.0-openjdk-devel, p-cpe:/a:centos:centos:java-1.6.0-openjdk-javadoc, p-cpe:/a:centos:centos:java-1.6.0-openjdk-src, cpe:/o:centos:centos:5, cpe:/o:centos:centos:6, cpe:/o:centos:centos:7
必要な KB アイテム: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2014/7/21
脆弱性公開日: 2014/7/17
参照情報
CVE: CVE-2014-2490, CVE-2014-4209, CVE-2014-4216, CVE-2014-4218, CVE-2014-4219, CVE-2014-4244, CVE-2014-4252, CVE-2014-4262, CVE-2014-4263, CVE-2014-4266
BID: 68562, 68583, 68596, 68599, 68620, 68624, 68636, 68639, 68642, 68645
RHSA: 2014:0907