Oracle Java SEの複数の脆弱性（2017 年 1 月のCPU）（SWEET32）

critical Nessus プラグイン ID 96628

Language:

概要

リモートのWindowsホストに、複数の脆弱性の影響を受けるプログラミングプラットフォームが含まれています。

説明

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、8は更新プログラム121、7は更新プログラム131、6は更新プログラム141より前です。したがって、以下の複数の脆弱性による影響を受けます。

- A vulnerability exists in the Libraries subcomponent, known as SWEET32, in the 3DES and Blowfish algorithms due to the use of weak 64-bit block ciphers by default.
十分なリソースを持つ中間にいる攻撃者が、「誕生日」攻撃を通じてこの脆弱性を悪用し、固定された秘密情報と既知の平文の間でXORを漏洩する衝突を検出します。これにより、安全なHTTPクッキーなどの秘密のテキストが漏洩し、認証されたセッションの乗っ取りが引き起こされる可能性があります。（CVE-2016-2183）

- An unspecified flaw exists in the Libraries subcomponent that allows an unauthenticated, remote attacker to impact integrity. (CVE-2016-5546)

- An unspecified flaw exists in the Libraries subcomponent that allows an unauthenticated, remote attacker to cause a denial of service condition. (CVE-2016-5547)

- Multiple unspecified flaws exist in the Libraries subcomponent that allow an unauthenticated, remote attacker to disclose sensitive information.
(CVE-2016-5548, CVE-2016-5549)

- An unspecified flaw exists in the Networking subcomponent that allows an unauthenticated, remote attacker to impact integrity. (CVE-2016-5552)

- An unspecified flaw exists in the Mission Control subcomponent that allows an unauthenticated, remote attacker to impact integrity. (CVE-2016-8328)

- Multiple unspecified flaws exist in the Networking subcomponent that allow an unauthenticated, remote attacker to disclose sensitive information.
(CVE-2017-3231, CVE-2017-3261)

- An unspecified flaw exists in the RMI subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3241)

- An unspecified flaw exists in the JAAS subcomponent that allows an unauthenticated, remote attacker to impact integrity. (CVE-2017-3252)

- An unspecified flaw exists in the 2D subcomponent that allows an unauthenticated, remote attacker to cause a denial of service condition. (CVE-2017-3253)

- An unspecified flaw exists in the Deployment subcomponent that allows an unauthenticated, remote attacker to disclose sensitive information.
(CVE-2017-3259)

- An unspecified flaw exists in the AWT subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3260)

- An unspecified flaw exists in the Java Mission Control subcomponent that allows an unauthenticated, remote attacker to disclose sensitive information.
(CVE-2017-3262)

- An unspecified flaw exists in the Libraries subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3272)

- An unspecified flaw exists in the Hotspot subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3289)

CVE-2017-3241は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレット（Webサービスなど）を使用しなくとも、指定されたコンポーネント内のAPIにデータを供給するだけで悪用される可能性があります。
CVE-2016-2183、CVE-2016-5546、CVE-2016-5547、CVE-2016-5552、CVE-2017-3252、およびCVE-2017-3253は、サンドボックス化されたJava Web Startアプリケーションとサンドボックス化されたJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネント内のAPIにデータを提供することで悪用される可能性があります。

ソリューション

Oracle JDK/JRE 8 Update 121/7 Update 131/6 Update 141以降にアップグレードしてください。必要に応じて、影響を受けるバージョンを削除してください。

注意：JDK/JRE 6 Update 95以降を入手するには、Oracleの延長サポート契約が必要です。