SUSE SLED12/SLES12 セキュリティ更新:java-1_7_0-openjdk(SUSE-SU-2015:0503-1)(POODLE)

critical Nessus プラグイン ID 83699
New! Vulnerability Priority Rating (VPR)

Tenable では、すべての脆弱性に対して動的な VPR が計算されます。VPR は脆弱性の情報を、脅威インテリジェンスや機械学習アルゴリズムと組み合わせて、攻撃時に最も悪用される可能性の高い脆弱性を予測します。詳細は、 「VPR とは何で、CVSS とはどう違うのか」を参照してください。

VPR スコア : 7.3

概要

リモート SuSE ホストに1つ以上のセキュリティ更新がありません。

説明

この更新では、13 件のセキュリティ問題が修正されます。

これらのセキュリティの問題が修正されました:

- CVE-2015-0395:Oracle Java SE 5.0u75、6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者はホットスポットに関連する不明なベクトルを介して機密性、整合性および可用性に影響を与えることができました(bnc#914041)。

- CVE-2015-0400:Oracle Java SE 6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者はライブラリに関連する不明なベクトルを介して機密性に影響を与えることができました(bnc#914041)。

- CVE-2015-0383:Oracle Java SE 5.0u75、6u85、7u72、および 8u25、Java SE Embedded 7u71 および 8u6、JRockit R27.8.4 および R28.3.4 における詳細不明な脆弱性により、ローカルの攻撃者はホットスポットに関連する不明なベクトルを介して、整合性および可用性に影響を与えることができました(bnc#914041)。

- CVE-2015-0412:Oracle Java SE 6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者は JAX-WS に関連するベクトルを介して機密性、整合性および可用性に影響を与えることができました(bnc#914041)。

- CVE-2015-0407:Oracle Java SE 5.0u75、6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者は Swing に関連する不明なベクトルを介して機密性に影響を与えることができました(bnc#914041)。

- CVE-2015-0408:Oracle Java SE 5.0u75、6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者は RMI に関連するベクトルを介して機密性、整合性および可用性に影響を与えることができました(bnc#914041)。

- CVE-2014-6585:Oracle Java SE 5.0u75、6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者は 2D に関連する不明なベクトルを介して機密性に影響を与えることができました。これは、CVE-2014-6591 とは異なる脆弱性です(bnc#914041)。

- CVE-2014-6587:Oracle Java SE 6u85、7u72、および 8u25 における詳細不明な脆弱性により、ローカルユーザーはライブラリに関連する不明なベクトルを介して、機密性、整合性および可用性に影響を与えることができました(bnc#914041)。

- CVE-2014-6591:Oracle Java SE 5.0u75、6u85、7u72、および 8u25 の Java SE コンポーネントにおける詳細不明な脆弱性により、リモートの攻撃者は 2D に関連する不明なベクトルを介して機密性に影響を与えることができました。これは、CVE-2014-6585 とは異なる脆弱性です(bnc#914041)。

- CVE-2014-6593:Oracle Java SE 5.0u75、6u85、7u72、および 8u25、Java SE Embedded 7u71 および 8u6、JRockit 27.8.4 および 28.3.4 における詳細不明な脆弱性により、リモートの攻撃者は JSSE に関連するベクトルを介して、機密性および整合性に影響を与えることができました(bnc#914041)。

- CVE-2014-6601:Oracle Java SE 6u85、7u72、および 8u25 における詳細不明な脆弱性により、リモートの攻撃者はホットスポットに関連する不明なベクトルを介して、機密性、整合性および可用性に影響を与えることができました(bnc#914041)。

- CVE-2015-0410:Oracle Java SE 5.0u75、6u85、7u72、および 8u25、Java SE Embedded 7u71 および 8u6、JRockit R27.8.4 および R28.3.4 の Java SE、Java SE Embedded、JRockit コンポーネントにおける詳細不明な脆弱性により、リモートの攻撃者はセキュリティに関連する不明なベクトルを介して、可用性に影響を与えることができました(bnc#914041)。

- CVE-2014-3566:1.0.1i までの OpenSSL およびその他の製品で使用される SSL プロトコル 3.0 は、非決定性の CBC パディングを使用しました。これにより中間者攻撃の攻撃者が、パディングオラクル攻撃(別名「POODLE」問題)を介して平文データを簡単に取得できます(bnc#901223)。

以下のセキュリティ以外の問題が、修正されました。

- プロトコルサポートを更新(S8046656)。

- エスケープ分析からのエスケープの減少(S8047130)。

- GC 検証の改善(S8049253)。

- TLAB の安定性(S8055479)。

注意:Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ソリューション

この SUSE セキュリティ更新をインストールするには、YaST online_update を使用してください。
または、お使いの製品用に一覧になったコマンドを実行することも可能です。

SUSE Linux Enterprise サーバー 12:

zypper in -t patch SUSE-SLE-SERVER-12-2015-122=1

SUSE Linux Enterprise Desktop 12:

zypper in -t patch SUSE-SLE-DESKTOP-12-2015-122=1

お使いのシステムを最新の状態にするには、「zypper パッチ」を使用してください。

関連情報

https://bugzilla.suse.com/show_bug.cgi?id=901223

https://bugzilla.suse.com/show_bug.cgi?id=914041

https://www.suse.com/security/cve/CVE-2014-3566/

https://www.suse.com/security/cve/CVE-2014-6585/

https://www.suse.com/security/cve/CVE-2014-6587/

https://www.suse.com/security/cve/CVE-2014-6591/

https://www.suse.com/security/cve/CVE-2014-6593/

https://www.suse.com/security/cve/CVE-2014-6601/

https://www.suse.com/security/cve/CVE-2015-0383/

https://www.suse.com/security/cve/CVE-2015-0395/

https://www.suse.com/security/cve/CVE-2015-0400/

https://www.suse.com/security/cve/CVE-2015-0407/

https://www.suse.com/security/cve/CVE-2015-0408/

https://www.suse.com/security/cve/CVE-2015-0410/

https://www.suse.com/security/cve/CVE-2015-0412/

http://www.nessus.org/u?376da17d

プラグインの詳細

深刻度: Critical

ID: 83699

ファイル名: suse_SU-2015-0503-1.nasl

バージョン: 2.15

タイプ: local

エージェント: unix

公開日: 2015/5/20

更新日: 2021/1/6

依存関係: ssh_get_info.nasl

リスク情報

リスクファクター: Critical

VPR スコア: 7.3

CVSS v2.0

Base Score: 10

Temporal Score: 7.8

ベクトル: AV:N/AC:L/Au:N/C:C/I:C/A:C

現状ベクトル: E:POC/RL:OF/RC:C

CVSS v3.0

Base Score: 3.4

Temporal Score: 3.1

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N

現状ベクトル: E:P/RL:O/RC:C

脆弱性の情報

CPE: p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-debuginfo, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-debugsource, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-demo, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-demo-debuginfo, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-devel, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-devel-debuginfo, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-headless, p-cpe:/a:novell:suse_linux:java-1_7_0-openjdk-headless-debuginfo, cpe:/o:novell:suse_linux:12

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2015/3/9

脆弱性公開日: 2014/10/15

参照情報

CVE: CVE-2014-3566, CVE-2014-6585, CVE-2014-6587, CVE-2014-6591, CVE-2014-6593, CVE-2014-6601, CVE-2015-0383, CVE-2015-0395, CVE-2015-0400, CVE-2015-0407, CVE-2015-0408, CVE-2015-0410, CVE-2015-0412

BID: 70574, 72132, 72136, 72140, 72142, 72155, 72159, 72162, 72165, 72168, 72169, 72173, 72175