リモート Redhat Enterprise Linux 5 / 6 ホストに、RHSA-2016:1430 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenJDK: kerberos のレルム名の漏洩 (JGSS、8048030) (CVE-2015-4734)

  - OpenJDK: XML 解析中のハッシュテーブルとハッシュリストの非効率的な使用 (JAXP、8068842) (CVE-2015-4803)

  - OpenJDK: ObjectStreamClass での適切な初期化に対するチェックの欠落 (シリアル化、8103671) (CVE-2015-4805)

  - OpenJDK: HttpURLConnection ヘッダー制限のバイパス (ライブラリ、8130193) (CVE-2015-4806)

  - Oracle JDK: 7u91 および 8u65 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2015-4810)

  - OpenJDK: StubGenerator での不十分な権限チェック (CORBA、8076383) (CVE-2015-4835)

  - OpenJDK: CMS コードの OOB アクセス (2D、8086092) (CVE-2015-4840)

  - OpenJDK: user.dir の場所の漏洩 (JAXP、8078427) (CVE-2015-4842)

  - OpenJDK: java.nio バッファ整数オーバーフローの問題 (ライブラリ、8130891) (CVE-2015-4843)

  - ICU: レイアウトエンジンの境界検査の欠如 (OpenJDK 2D、8132042) (CVE-2015-4844)

  - OpenJDK: DGCImpl で使用される不適切なアクセス制御コンテキスト (RMI、8080688) (CVE-2015-4860)

  - OpenJDK: 保護されたメソッドを、DirectMethodHandle を介してインターフェースメソッドとして使用できます (ライブラリ) (CVE-2015-4871)

  - OpenJDK: AlgorithmChecker による不完全な制約の実施 (Security、8131291) (CVE-2015-4872)

  - OpenJDK: IIOPInputStream での不適切な String オブジェクトの逆シリアル化 (CORBA、8076387) (CVE-2015-4882)

  - OpenJDK: DGCImpl で使用される不適切なアクセス制御コンテキスト (RMI、8076413) (CVE-2015-4883)

  - OpenJDK: 不完全な MaxXMLNameLimit の実施 (JAXP、8086733) (CVE-2015-4893)

  - Oracle JDK: 6u105、7u91、および 8u65(デプロイメント) で修正された詳細不明な脆弱性 (CVE-2015-4902)

  - OpenJDK: RemoteObjectInvocationHandler での不十分なプロキシクラスチェック (RMI、8076339) (CVE-2015-4903)

  - IBM JDK: kerberos 認証情報キャッシュのローカル漏洩 (CVE-2015-5006)

  - IBM JDK: J9 JVM により、コードがパブリックでないインターフェースメソッドを呼び出す可能性があります (CVE-2015-5041)

  - 鍵交換プロトコルの MD5 に対する TLS 1.2 Transcript Collision 攻撃 (SLOTH) (CVE-2015-7575)

  - libpng: png_convert_to_rfc1123 の領域外読み取り (CVE-2015-7981)

  - libpng: png_get_PLTE/png_set_PLTE 関数でのバッファオーバーフローの脆弱性 (CVE-2015-8126、CVE-2015-8472)

  - libpng: png_check_keyword() のアンダーフロー読み取り (CVE-2015-8540)

  - IBM JDK: IBM JVM のバッファオーバーフローの脆弱性 (CVE-2016-0264)

  - IBM JDK: CORBA コンポーネントの中の呼び出しメソッドのセキュリティ保護のない使用、CVE-2013-3009 の不適切な修正 (CVE-2016-0363)

  - IBM JDK: CORBA のセキュリティ保護のない逆シリアル化、CVE-2013-5456 の不適切な修正 (CVE-2016-0376)

  - OpenJDK: URL 逆シリアル化の不一致 (Networking、8059054) (CVE-2016-0402)

  - OpenJDK: RMI 接続シークレットのロギング (JMX、8130710) (CVE-2016-0448)

  - OpenJDK: totalEntitySizeLimit の不十分な実施 (JAXP、8133962) (CVE-2016-0466)

  - OpenJDK: JPEG デコーダーの不適切な境界検査 (AWT、8139017) (CVE-2016-0483)

  - ICU: IndicRearrangementProcessor の整数符号問題 (OpenJDK 2D、8140543) (CVE-2016-0494)

  - OpenJDK: ObjectInputStream の不十分なスレッドの一貫性チェック (シリアル化、8129952) (CVE-2016-0686)

  - OpenJDK: 不十分なバイト型チェック (ホットスポット、8132051) (CVE-2016-0687)

  - Oracle JDK: 6u115、7u101、および 8u91 (2D) で修正された詳細不明な脆弱性 (CVE-2016-3422、CVE-2016-3443)

  - OpenJDK: 一定時間でない GCM 認証タグの比較 (JCE、8143945) (CVE-2016-3426)

  - OpenJDK: 認証情報の無制限な逆シリアル化 (JMX、8144430) (CVE-2016-3427)

  - Oracle JDK: 6u115、7u101、および 8u91 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2016-3449)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 5 / 6 : java-1.7.0-ibm および java-1.7.1-ibm (RHSA-2016:1430)

critical Nessus プラグイン ID 92400

バージョン 2.18