AIX Java アドバイザリ：java_oct2014_advisory.asc（POODLE）

critical Nessus プラグイン ID 79626

Language:

概要

リモートの AIX ホストに、複数の脆弱性による影響を受けるバージョンの Java SDK がインストールされています。

説明

リモートホストにインストールされている Java SDK のバージョンが、次の脆弱性による影響を受けます：

- IBM Java SDK の権限昇格の脆弱性により、共有クラス機能のデフォルト構成に欠陥があるため、ローカルの攻撃者が、任意のコードを共有クラスキャッシュに注入する可能性があります。他のユーザーが、注入されたコードを実行できます。これにより、攻撃者が昇格された権限を取得する可能性があります。
（CVE-2014-3065）

- Oracle Java に、POODLE として知られる SSLv3 CBC モード暗号に関連する欠陥があります。この脆弱性の原因は、暗号ブロック連鎖（CBC）モードでブロック暗号を使用して暗号化されたメッセージの復号を行う際の、SSL 3.0 のパディングバイトの処理方法によるものです。新たに作成した SSL 3.0 接続を通じて被害を受けるアプリケーションに同じデータを繰り返し送信させることができる場合、中間攻撃者は、暗号テキスト内の選択したバイトをわずか 256 回の試行で復号できます。（CVE-2014-3566）

- Oracle Java の脆弱性により、Deployment サブコンポーネントの欠陥によるリモートコードの実行が可能になります。
（CVE-2014-4288、CVE-2014-6492、CVE-2014-6493、 CVE-2014-6503、CVE-2014-6532）

- SSL/TLS 再ネゴシエーション中のサーバー証明書変更の処理に関連する欠陥により、Oracle Java にセッションハイジャックの脆弱性が存在します。これにより、攻撃者が、クライアントとサーバーの間の通信を傍受し、相互認証されているセッションをハイジャックする可能性があります。
（CVE-2014-6457）

- 権限昇格の脆弱性が Oracle Java の Deployment サブコンポーネントに存在します。
（CVE-2014-6458、CVE-2014-6466）

- データ整合性の脆弱性が Oracle Java の Deployment サブコンポーネントに存在します。（CVE-2014-6476、 CVE-2014-6515、CVE-2014-6527）

- Oracle Java におけるファイル「share/classes/java/util/logging/LogRecord.java」の「LogRecord::readObject」関数のリソースバンドリング処理コードに、権限昇格の脆弱性が存在します。これにより、攻撃者が特定のサンドボックス制限をバイパスする可能性があります。（CVE-2014-6502）

- Oracle Java における「share/classes/java/util/ResourceBundle.java」のプロパティ処理と名前処理コードに、権限昇格の脆弱性が存在します。これにより、攻撃者が特定のサンドボックス制限をバイパスする可能性があります。（CVE-2014-6506）

- Oracle Java の 2D サブコンポーネントに詳細不明な脆弱性があります。（CVE-2014-6511）

- DatagramSocket 実装のデータグラムソケットのラッピングに関連する欠陥により、Oracle Java に情報漏洩の脆弱性が存在します。この問題により、接続されているものではなく他のソースから生成されるパケットが読み取られる可能性があります。これにより、リモートの攻撃者が、IP のなりすましを行う可能性があります。（CVE-2014-6512）

- スプラッシュ画像が「windows/native/sun/awt/splashscreen/splashscreen_sys.c」により処理される方法に欠陥が存在します。これにより、リモートコードの実行が引き起こされる可能性があります。（CVE-2014-6513）

- 特定の場合に権限をチェックできないため、Oracle Java の「share/classes/java/util/logging/Logger.java」に権限昇格の脆弱性が存在します。これにより、攻撃者がサンドボックス制限をバイパスし、ログを表示または編集する可能性があります。（CVE-2014-6531）

- ファイル「share/classes/javax/crypto/CipherInputStream.java」の入力暗号ストリームに関連する欠陥が存在します。これにより、リモートの攻撃者が、データ整合性に影響を及ぼす可能性があります。
（CVE-2014-6558）