AIX Java アドバイザリ：java_july2015_advisory.asc（Logjam）

critical Nessus プラグイン ID 85447

Language:

概要

リモートの AIX ホストに、複数の脆弱性による影響を受けるバージョンの Java SDK がインストールされています。

説明

リモート AIX ホスト上にインストールされている Java SDK のバージョンは、複数の脆弱性に影響を受けます。

- Java セキュリティコンポーネントはメモリダンプで平文データを保存するため、ローカルの攻撃者は、機密情報へのアクセス権を取得できます。(CVE-2015-1931)

- OIS データを処理する際に、クラス ObjectInputStream.java にある readSerialData() 関数に欠陥が存在するため、攻撃者は、任意のコードを実行することができます。
(CVE-2015-2590)

- さまざまな暗号操作で一定ではない時間比較が使用されているため、JCE コンポーネントに複数の欠陥が存在します。リモートの攻撃者はこれを悪用して、タイミング攻撃を仕掛けることで、機密情報へのアクセス権を取得できます。(CVE-2015-2601)

- ECDH 鍵を導出する際に EC パラメーターを検証していないため、ファイル ec.c にある ECDH_Derive() 関数に欠陥が存在します。リモートの攻撃者が、これを悪用して、機密情報にアクセスする可能性があります。
(CVE-2015-2613)

- 2D コンポーネントに詳細不明な脆弱性が存在するため、リモートの攻撃者は、機密情報にアクセスすることができます。（CVE-2015-2619、 CVE-2015-2637）

- リポジトリクラスローダーを作成する際に、アクセス権を不適切にチェックしているため、クラス RMIConnectionImpl.java にある RMIConnectionImpl コンストラクターに欠陥が存在します。攻撃者はこれを悪用して、サンドボックス制限をバイパスすることや、機密情報にアクセスすることができます。
(CVE-2015-2621)

- SSL/TLS プロトコルの処理で、詳細不明の欠陥が JSSE コンポーネントに存在します。リモートの攻撃者がこれを悪用して、機密情報へのアクセスすることができます。
(CVE-2015-2625)

- C/C++ 用 Unicode の International Components に、整数オーバーフロー状態が存在します（ICU4C）。
攻撃者はこれを悪用して、特別に細工されたフォントを使用することで、このライブラリを使用しているアプリケーションをクラッシュさせるか、メモリコンテンツにアクセスすることができます。(CVE-2015-2632)

- 2D コンポーネントに詳細不明な脆弱性が存在するため、リモートの攻撃者は、任意のコードを実行できます。(CVE-2015-2638)

- 展開コンポーネントに詳細不明な欠陥が存在するため、ローカルの攻撃者は、昇格された権限を取得できます。(CVE-2015-2664)

- SSL/TLS プロトコルの欠陥により、 Logjam として知られる中間者の脆弱性が存在しています。リモートの攻撃者はこの欠陥を悪用して、エフェメラルディフィー・ヘルマン鍵交換を使用している接続を 512 ビットエクスポートグレードの暗号化にダウングレードさせることができます。(CVE-2015-4000)

- 展開コンポーネントに、機密性と整合性に影響を与える詳細不明な脆弱性が存在します。
(CVE-2015-4729)

- MBean 接続プロキシクラスを処理する際に、クラス MBeanServerInvocationHandler.java に欠陥が存在します。攻撃者はこれを悪用して、サンドボックス制限をバイパスすることや、任意のコードを実行することができます。(CVE-2015-4731)

- クラス ObjectInputStream.java およびクラス SerialCallbackContext.java に、コンテキストの不十分なチェックに関連する、複数の欠陥が存在します。攻撃者はこれらを悪用して、任意のコードを実行することができます。(CVE-2015-4732)

- finalize() メソッドへの呼び出しが許可されているため、クラス RemoteObjectInvocationHandler.java 内の invoke() メソッドに欠陥が存在します。攻撃者はこれを悪用して、サンドボックス保護をバイパスすることや、任意のコードを実行することができます。(CVE-2015-4733)

- 展開コンポーネントに詳細不明な欠陥が存在するため、ローカルの攻撃者は、任意のコードを実行することができます。
(CVE-2015-4736)

- Online Certificate Status Protocol（OCSP）の「nextUpdate」のない応答を処理する際に、セキュリティコンポーネントに欠陥が存在します。リモートの攻撃者は、これを悪用して、アプリケーションに失効した X.509 証明書を受け取らせることができます。(CVE-2015-4748)

- JNDI コンポーネントの例外処理がリクエスト情報をリリースすることに失敗するため、クラス DnsClient.java 内の query() メソッドに欠陥が存在します。リモートの攻撃者が、これを悪用することにより、サービス拒否を引き起こす可能性があります。(CVE-2015-4749)

- C/C++ 用 Unicode の International Component でのレイアウトエンジンに、整数オーバーフローの状態が存在します（ICU4C）。攻撃者はこれを悪用して、特別に細工されたフォントを使用することで、このライブラリを使用しているアプリケーションをクラッシュさせるか、任意のコードを実行することができます。(CVE-2015-4760)