Red Hat セキュリティアドバイザリ 2014:0907 から：

複数のセキュリティ問題と 1 つのバグを修正する更新済みの java-1.6.0-openjdk パッケージが、Red Hat Enterprise Linux 5、6 および 7 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

java-1.6.0-openjdk パッケージには、OpenJDK 6 Java Runtime Environment および OpenJDK 6 Java ソフトウェア開発キットがあります。

OpenJDK のホットスポットコンポーネントがクラスファイルのバイトコードを適切に検証していないことが判明しました。信頼されない Java アプリケーションやアプレットが、これらの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-4216、CVE-2014-4219）

OpenJDK でのホットスポットコンポーネントイベントロガーに、書式文字列の欠陥が発見されました。信頼されていない Java アプリケーションまたはアプレットはこの欠陥を利用して java 仮想マシンをクラッシュさせることや、Java 仮想マシンの権限で任意のコードを実行する可能性があります。
（CVE-2014-2490）

OpenJDK の Libraries コンポーネントに、不適切な権限チェックの問題が見つかりました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用することにより、 Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-4262）

OpenJDK の JMX、ライブラリ、セキュリティおよびサービサビリティコンポーネントに、複数の欠陥が見つかりました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。（CVE-2014-4209、CVE-2014-4218、CVE-2014-4252、 CVE-2014-4266）

OpenJDK でのセキュリティコンポーネントで、RSA アルゴリズムは、プライベートキーを使用する操作を行う際に、ブラインディングを十分に行っていないことが判明しました。攻撃者はこれらの操作のタイミング差を測り、使用されているキーの情報を漏洩する可能性があります。（CVE-2014-4244）

OpenJDK のセキュリティコンポーネントのディフィー・ヘルマン（DH）鍵交換アルゴリズムの実装が、パブリック DH パラメーターの適切な検証に失敗しました。これにより、OpenJDK が脆弱なパラメーターを承認して利用し、攻撃者がネゴシエートされたキーを復元できるようになります。（CVE-2014-4263）

CVE-2014-4262 の問題は、 Red Hat 製品セキュリティの Florian Weimer によって検出されました。

この更新では以下のバグも修正されます。

* この更新以前では、非同期の HashMap にアクセスするアプリケーションは、無限ループに陥ることや、過剰な CPU リソースを消費することがあります。この更新は、この問題を解決します。
（BZ#1115580）

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

検出

Oracle Linux 5/6/7：java-1.6.0-openjdk（ELSA-2014-0907）

high Nessus プラグイン ID 76631

変更ログが見つかりません