Oracle Java SEの複数の脆弱性（2017年1月CPU）（SWEET32）

critical Nessus プラグイン ID 96629

Language:

概要

リモートのUnixホストに、複数の脆弱性の影響を受けるプログラミングプラットフォームが含まれています。

説明

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、8は更新プログラム121、7は更新プログラム131、6は更新プログラム141より前です。したがって、複数の脆弱性の影響を受けます。- 弱い64ビットブロック暗号をデフォルトで使用するため、SWEET32と呼ばれるLibrariesサブコンポーネントの脆弱性が3DESおよびBlowfishアルゴリズムにあります。十分なリソースを持つ中間にいる攻撃者が、「誕生日」攻撃を通じて、この脆弱性を悪用し、固定された秘密情報と既知の平文の間でXORを漏えいする衝突を検出します。これにより、安全なHTTPクッキーなどの秘密のテキストが漏えいし、認証されたセッションの乗っ取りが引き起こされる可能性があります。（CVE-2016-2183）-Librariesサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2016-5546) - Librariesサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者がサービス拒否状態を発生させる可能性があります。（CVE-2016-5547）-Librariesサブコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が秘密情報を開示できます。（CVE-2016-5548、CVE-2016-5549）-Networkingサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2016-5552）-ミッションコントロールサブコンポーネントに詳細不明なの欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2016-8328）-Networkingサブコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が秘密情報を開示できます。（CVE-2017-3231、CVE-2017-3261）-RMIサブコンポーネントには、認証されていないリモートの攻撃者が任意のコードを実行する可能性のある詳細不明な欠陥があります。（CVE-2017-3241）-JAASサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2017-3252) - 2Dサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者がサービス拒否状態を発生させる可能性があります。（CVE-2017-3253）-Deploymentサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が秘密情報を開示する可能性があります。（CVE-2017-3259）-AWTサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3260）-Java Mission Controlサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3262）-Librariesサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3272）-ホットスポットサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3289）CVE-2017-3241は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレット（Webサービスなど）を使用しなくとも、指定されたコンポーネント内のAPIにデータを供給するだけで悪用される可能性があります。CVE-2016-2183、CVE-2016-5546、CVE-2016-5547、CVE-2016-5552、CVE-2017-3252、およびCVE-2017-3253は、サンドボックス化されたJava Web Startアプリケーションとサンドボックス化されたJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネント内のAPIにデータを提供することで悪用される可能性があります。

ソリューション

Oracle JDK/JRE 8 Update 121/7 Update 131/6 Update 141以降にアップグレードしてください。必要に応じて、影響を受けるバージョンを削除してください。注意：JDK/JRE 6 Update 95以降を入手するには、Oracleの延長サポート契約が必要です。