SUSE SLED12/SLES12 セキュリティ更新：java-1_7_0-openjdk（SUSE-SU-2015:0503-1）（POODLE）
low Nessus プラグイン ID 83699
Language:
概要
リモート SuSE ホストに１つ以上のセキュリティ更新がありません。説明
この更新では、13 件のセキュリティ問題が修正されます。これらのセキュリティの問題が修正されました：
- CVE-2015-0395：Oracle Java SE 5.0u75、6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者はホットスポットに関連する不明なベクトルを介して機密性、整合性および可用性に影響を与えることができました（bnc#914041）。
- CVE-2015-0400：Oracle Java SE 6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者はライブラリに関連する不明なベクトルを介して機密性に影響を与えることができました（bnc#914041）。
- CVE-2015-0383：Oracle Java SE 5.0u75、6u85、7u72、および 8u25、Java SE Embedded 7u71 および 8u6、JRockit R27.8.4 および R28.3.4 における詳細不明な脆弱性により、ローカルの攻撃者はホットスポットに関連する不明なベクトルを介して、整合性および可用性に影響を与えることができました（bnc#914041）。
- CVE-2015-0412：Oracle Java SE 6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者は JAX-WS に関連するベクトルを介して機密性、整合性および可用性に影響を与えることができました（bnc#914041）。
- CVE-2015-0407：Oracle Java SE 5.0u75、6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者は Swing に関連する不明なベクトルを介して機密性に影響を与えることができました（bnc#914041）。
- CVE-2015-0408：Oracle Java SE 5.0u75、6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者は RMI に関連するベクトルを介して機密性、整合性および可用性に影響を与えることができました（bnc#914041）。
- CVE-2014-6585：Oracle Java SE 5.0u75、6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者は 2D に関連する不明なベクトルを介して機密性に影響を与えることができました。これは、CVE-2014-6591 とは異なる脆弱性です（bnc#914041）。
- CVE-2014-6587：Oracle Java SE 6u85、7u72、および 8u25 における詳細不明な脆弱性により、ローカルユーザーはライブラリに関連する不明なベクトルを介して、機密性、整合性および可用性に影響を与えることができました（bnc#914041）。
- CVE-2014-6591：Oracle Java SE 5.0u75、6u85、7u72、および 8u25 の Java SE コンポーネントにおける詳細不明な脆弱性により、リモートの攻撃者は 2D に関連する不明なベクトルを介して機密性に影響を与えることができました。これは、CVE-2014-6585 とは異なる脆弱性です（bnc#914041）。
- CVE-2014-6593：Oracle Java SE 5.0u75、6u85、7u72、および 8u25、Java SE Embedded 7u71 および 8u6、JRockit 27.8.4 および 28.3.4 における詳細不明な脆弱性により、リモートの攻撃者は JSSE に関連するベクトルを介して、機密性および整合性に影響を与えることができました（bnc#914041）。
- CVE-2014-6601：Oracle Java SE 6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者はホットスポットに関連する不明なベクトルを介して、機密性、整合性および可用性に影響を与えることができました（bnc#914041）。
- CVE-2015-0410：Oracle Java SE 5.0u75、6u85、7u72、および 8u25、Java SE Embedded 7u71 および 8u6、JRockit R27.8.4 および R28.3.4 の Java SE、Java SE Embedded、JRockit コンポーネントにおける詳細不明な脆弱性により、リモートの攻撃者はセキュリティに関連する不明なベクトルを介して、可用性に影響を与えることができました（bnc#914041）。
- CVE-2014-3566：1.0.1i までの OpenSSL およびその他の製品で使用される SSL プロトコル 3.0 は、非決定性の CBC パディングを使用しました。これにより中間者攻撃の攻撃者が、パディングオラクル攻撃（別名「POODLE」問題）を介して平文データを簡単に取得できます（bnc#901223）。
以下のセキュリティ以外の問題が、修正されました。
- プロトコルサポートを更新（S8046656）。
- エスケープ分析からのエスケープの減少（S8047130）。
- GC 検証の改善（S8049253）。
- TLAB の安定性（S8055479）。
注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。
ソリューション
この SUSE セキュリティ更新をインストールするには、YaST online_update を使用してください。または、お使いの製品用に一覧になったコマンドを実行することも可能です。
SUSE Linux Enterprise サーバー 12：
zypper in -t patch SUSE-SLE-SERVER-12-2015-122=1
SUSE Linux Enterprise Desktop 12：
zypper in -t patch SUSE-SLE-DESKTOP-12-2015-122=1
お使いのシステムを最新の状態にするには、「zypper パッチ」を使用してください。
参考資料
https://bugzilla.suse.com/show_bug.cgi?id=901223
https://bugzilla.suse.com/show_bug.cgi?id=914041
https://www.suse.com/security/cve/CVE-2014-3566/
https://www.suse.com/security/cve/CVE-2014-6585/
https://www.suse.com/security/cve/CVE-2014-6587/
https://www.suse.com/security/cve/CVE-2014-6591/
https://www.suse.com/security/cve/CVE-2014-6593/
https://www.suse.com/security/cve/CVE-2014-6601/
https://www.suse.com/security/cve/CVE-2015-0383/
https://www.suse.com/security/cve/CVE-2015-0395/
https://www.suse.com/security/cve/CVE-2015-0400/
https://www.suse.com/security/cve/CVE-2015-0407/
https://www.suse.com/security/cve/CVE-2015-0408/
https://www.suse.com/security/cve/CVE-2015-0410/
プラグインの詳細
深刻度: Low
ID: 83699
ファイル名: suse_SU-2015-0503-1.nasl
バージョン: 2.15
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2015/5/20
更新日: 2021/1/6
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.5
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS v3
リスクファクター: Low
基本値: 3.4
現状値: 3.1
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-debuginfo, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-debugsource, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-demo, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-demo-debuginfo, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-devel, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-devel-debuginfo, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-headless, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-headless-debuginfo, cpe:/o:novell:suse_linux:12
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2015/3/9
脆弱性公開日: 2014/10/15
参照情報
CVE: CVE-2014-3566, CVE-2014-6585, CVE-2014-6587, CVE-2014-6591, CVE-2014-6593, CVE-2014-6601, CVE-2015-0383, CVE-2015-0395, CVE-2015-0400, CVE-2015-0407, CVE-2015-0408, CVE-2015-0410, CVE-2015-0412
BID: 70574, 72132, 72136, 72140, 72142, 72155, 72159, 72162, 72165, 72168, 72169, 72173, 72175