openSUSE セキュリティ更新：icedtea-web（openSUSE-2015-602）
medium Nessus プラグイン ID 86094
Language:
概要
リモート openSUSE ホストに、セキュリティ更新がありません。説明
icedtea-web java プラグインが 1.6.1 に更新されました。変更点は以下の通りです：
- Entry-Point 属性チェックを有効化
- 権限サンドボックスおよび署名付きアプリと全権限の権限を持つ未署名アプリが、まったく実行しないのではなくサンドボックスで実行するようになりました。
- DownloadService を修正しました
- deployment.properties のコメントは現在、ロード/保存を継続する必要があります
- クエリのあるファイルのキャッシングのバグを修正
- 既存ショートカットの作り直しの問題を修正
- trustAll/trustNone が適切に処理されるようになりました
- headless がダイアログに表示されなくなりました
- RH1231441 セキュリティダイアログのボタンのテキストを読み取ることができません
- RH1233697 icedtea-web を修正しました：アプレット生成元のなりすまし（CVE-2015-5235、bsc#944208）
- RH1233667 icedtea-web を修正しました：未署名アプレットの予期しない永久承認（CVE-2015-5234、bsc#944209）
- 未署名アプリケーションに対しても MissingALACAdialog が利用可能になり（ただし実際のマニフェスト値を無視）、修正されました
- NetX
- -html ショートカットの問題を修正
- -html が幅と高さでガベージを受信する問題を修正
- PolicyEditor
- スタンドアロン使用時にファイルフラグが機能するようになりました
- ファイルフラグとメイン引数は組み合わせて使用できません
- 一部のバージョンの「tail」での man ページの生成を修正
1.6 への更新も含まれます
- オフライン機能を大幅に改善。inet 接続なしで作業を強制するために、Xoffline を追加。
- あらゆる JDK で実行できるように改善
- JDK 6 以前のサポートを停止
- JDK 8 サポートを追加（該当する場合は URLPermission を付与）
- JDK 9 をサポート
- Entry-Point マニフェスト属性のサポートを追加
- Manifest ファイルのスキャンをコントロールするために KEY_ENABLE_MANIFEST_ATTRIBUTES_CHECK 展開プロパティを追加
- 最初の引数が -- 省略も受け入れるようになりました
- 新しいドキュメントを追加
- メニューショートカットのサポートを追加 - javaws アプリケーション/アプレットと html アプレットの両方をサポート
- javaws に対する -html スイッチのサポートを追加。ブラウザを全く使用せずに、ほとんどのアプレットを実行できるようになりました
- コントロールパネル
- PR1856：低解像度（800*600）の ControlPanel UI を強化
- NetX
- PR1858：Java コンソールは、マルチバイトエンコーディングを受け入れます
- PR1859：低解像度（800*600）に対する Java コンソール UI の強化
- RH1091563：[abrt] icedtea-web-1.5-2.fc20：sun.applet.PluginAppletViewer$8.run() メソッドの捕捉されなかった例外 java.lang.ClassCastException
- 長期メンテナンスされていない -basedir 引数のサポートを停止
- -jnlp 引数のサポートを再開
- RH1095311、PR574 - OpenJDK 9 の sun.misc.Ref 参照クラスが削除されました - 修正されたため、JDK9 で構築可能です
- プラグイン
- PR1743 - PluginRequestProcessor の断続的なデッドロック
- PR1298 - LiveConnect - JS からの配列要素（アプレット変数）設定の問題
- RH1121549：coverity の欠陥
- スーパークラス階層距離でメソッドのオーバーロードを適切に解決
- PolicyEditor
- コードベースは所定の位置の名前変更、コピー、および貼り付けが可能
- コードベース URL はシステムクリップボードにコピー可能
- ファイルの「開く」または「保存」中に進捗ダイアログを表示
- 権限が割り当てられていないコードベースもファイルに保存される（次回開いたときに再度表示される）
- PR1776：「保存して終了」時の NullPointer
- PR1850：セキュリティダイアログから起動する際のコードベース重複
- 「Save before Exiting（終了前に保存）」ダイアログで「Cancel（キャンセル）」をクリックすると、変更を保存せずにエディターが終了する可能性があるバグを修正
- キーボードアクセラレータとニモニックを大幅に改善
- 「File - New（ファイル－新規）」で、最初に保存先のファイルを選択することなく新しいポリシーを編集できる
- 共通：
- PR1769：マニフェストのサンドボックス権限を指定する署名付きアプレットをサポート
- セキュリティダイアログの一時的な権限が、複数選択可能になり、また PolicyEditor 権限に基づくようになりました
- 1.5.2 に更新
- NetX
- RH1095311、PR574 - OpenJDK 9 の sun.misc.Ref 参照クラスが削除されました - 修正されたため、JDK9 で構築可能です
- RH1154177 - キャッシュから必要なファイルをデコード
- https ダイアログの NPE を修正
- 空白のコードベースが「.」として動作する
ソリューション
影響を受ける icedtea-web パッケージを更新してください。参考資料
https://bugzilla.opensuse.org/show_bug.cgi?id=755054
https://bugzilla.opensuse.org/show_bug.cgi?id=830880
プラグインの詳細
深刻度: Medium
ID: 86094
ファイル名: openSUSE-2015-602.nasl
バージョン: 2.3
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2015/9/23
更新日: 2021/1/19
サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6.8
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
脆弱性情報
CPE: p-cpe:/a:novell:opensuse:icedtea-web, p-cpe:/a:novell:opensuse:icedtea-web-debuginfo, p-cpe:/a:novell:opensuse:icedtea-web-debugsource, p-cpe:/a:novell:opensuse:icedtea-web-javadoc, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-plugin, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-plugin-debuginfo, p-cpe:/a:novell:opensuse:java-1_7_0-openjdk-plugin-debugsource, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-plugin, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-plugin-debuginfo, p-cpe:/a:novell:opensuse:java-1_8_0-openjdk-plugin-debugsource, cpe:/o:novell:opensuse:13.1, cpe:/o:novell:opensuse:13.2
必要な KB アイテム: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu
パッチ公開日: 2015/9/15