RHEL 7 : java-1.7.0-openjdk (RHSA-2016:0676)

critical Nessus プラグイン ID 90669

概要

リモートの Red Hat ホストに 1 つ以上の java-1.7.0-openjdk. 用セキュリティ更新プログラムがありません

説明

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2016:0676 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

java-1.7.0-openjdk パッケージは、OpenJDK 7 Java Runtime Environment および OpenJDK 7 Java ソフトウェア開発キットを提供します。

セキュリティ修正プログラム:

* OpenJDK での Serialization コンポーネントと Hotspot コンポーネントに、複数の欠陥が発見されました。信頼できない Java アプリケーションまたはアプレットがこれらの欠陥を利用して、Java サンドボックスの制限を完全にバイパスする可能性があります。
(CVE-2016-0686、CVE-2016-0687)

* OpenJDK での JMX コンポーネント内の RMI サーバーの実装では、認証証明書を逆シリアル化する際に、逆シリアル化される可能性があるクラスを制限していないことが判明しました。JMX ポートに接続できる認証されていないリモートの攻撃者は、この欠陥を利用して、逆シリアル化の欠陥を誘発する可能性があります。
(CVE-2016-3427)

* OpenJDK での JAXP コンポーネントは、XML 属性値の一部として、Unicode のサロゲートペアを適切に処理していないことが判明しました。特別に細工された XML の入力により、Java アプリケーションは、解析時に過剰な量のメモリを使用する可能性があります。(CVE-2016-3425)

* OpenJDK での Security コンポーネントは、DSA 署名を生成する際に、ダイジェストアルゴリズムの強さをチェックできていないことが判明しました。強さがキーよりも弱いダイジェストを使用することで、予想外に弱い署名が生成される可能性があります。(CVE-2016-0695)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

RHEL java-1.7.0-openjdk パッケージを、RHSA-2016:0676 のガイダンスに基づいて更新してください。

参考資料

http://www.nessus.org/u?8dae5db1

https://access.redhat.com/errata/RHSA-2016:0676

https://access.redhat.com/security/updates/classification/#critical

https://bugzilla.redhat.com/show_bug.cgi?id=1327743

https://bugzilla.redhat.com/show_bug.cgi?id=1327749

https://bugzilla.redhat.com/show_bug.cgi?id=1328022

https://bugzilla.redhat.com/show_bug.cgi?id=1328040

https://bugzilla.redhat.com/show_bug.cgi?id=1328210

プラグインの詳細

深刻度: Critical

ID: 90669

ファイル名: redhat-RHSA-2016-0676.nasl

バージョン: 2.19

タイプ: local

エージェント: unix

公開日: 2016/4/22

更新日: 2025/4/15

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.4

Vendor

Vendor Severity: Critical

CVSS v2

リスクファクター: Critical

基本値: 10

現状値: 8.3

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS スコアのソース: CVE-2016-3427

CVSS v3

リスクファクター: Critical

基本値: 9.8

現状値: 9.1

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C

CVSS スコアのソース: CVE-2016-0687

脆弱性情報

CPE: cpe:/o:redhat:enterprise_linux:5, p-cpe:/a:redhat:enterprise_linux:java-1.7.0-openjdk-devel, p-cpe:/a:redhat:enterprise_linux:java-1.7.0-openjdk-javadoc, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:java-1.7.0-openjdk-src, p-cpe:/a:redhat:enterprise_linux:java-1.7.0-openjdk-accessibility, p-cpe:/a:redhat:enterprise_linux:java-1.7.0-openjdk, p-cpe:/a:redhat:enterprise_linux:java-1.7.0-openjdk-headless, p-cpe:/a:redhat:enterprise_linux:java-1.7.0-openjdk-demo

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2016/4/21

脆弱性公開日: 2016/4/21

CISA の既知の悪用された脆弱性の期限日: 2023/6/2

参照情報

CVE: CVE-2016-0686, CVE-2016-0687, CVE-2016-0695, CVE-2016-3425, CVE-2016-3427

RHSA: 2016:0676