OpenJDKのRMIコンポーネントのRMIレジストリおよびDCG実装で、信頼できない入力の逆シリアル化が実行されることがわかりました。リモートの攻撃者がこの欠陥を利用して、RMIレジストリまたはJava RMIアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。この問題は、RMIレジストリまたはDCGによって逆シリアル化できるクラスのホワイトリストを導入することによって解決されました。これらのホワイトリストは、新しく導入されたsun.rmi.registry.registryFilterおよびsun.rmi.transport.dgcFilterセキュリティプロパティを使用してカスタマイズできます。（CVE-2017-3241）OpenJDK内のホットスポットとライブラリのコンポーネントで、複数の欠陥が発見されました。信頼できないJavaアプリケーションまたはアプレットがこれらの欠陥を利用して、Javaサンドボックスの制限を完全にバイパスする可能性があります。（CVE-2017-3272、CVE-2017-3289）OpenJDKのライブラリコンポーネントのDSA実装に、隠れタイミングチャネルの欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、タイミングサイドチャンネル経由で使用されているキーに関する特定の情報を抽出する可能性があります。（CVE-2016-5548）OpenJDKのライブラリコンポーネントが、非正規DERエンコーディングを使用してECSDA署名を受け入れることが発見されました。これにより、Javaアプリケーションが、他の暗号化ツールでは受け入れられない不適切な形式の署名を受け入れる可能性があります。（CVE-2016-5546）OpenJDKの2Dコンポーネントが、メタデータを無視するように設定されているときでも、iTXtおよびzTXt PNGイメージチャンクの解析を実行することがわかりました。Javaアプリケーションで特別に細工されたPNG画像を解析することができる攻撃者が、アプリケーションに過剰な量のメモリを消費させる可能性があります。（CVE-2017-3253）OpenJDKのライブラリコンポーネントが、OIDを格納するためにメモリを割り当てる前に、DER入力から読み取られたオブジェクト識別子の長さを検証しないことがわかりました。Javaアプリケーションで特別に細工されたDER入力をデコードすることができる攻撃者が、アプリケーションに過剰な量のメモリを消費させる可能性があります。（CVE-2016-5547）OpenJDKのJAASコンポーネントが、ユーザー検索LDAPクエリの結果からユーザーDNを抽出する正しい方法を使用していないことが発見されました。特別に細工されたユーザーのLDAPエントリは、アプリケーションに不適切なDNを使用させる可能性があります。（CVE-2017-3252）OpenJDKのネットワークコンポーネントがURLからユーザー情報を適切に解析できなかったことが発見されました。リモートの攻撃者が、Javaアプリケーションに攻撃者から提供されたURLを不適切に解析させ、同じURLを処理する他のアプリケーションとは異なる解釈をさせる可能性があります。（CVE-2016-5552）OpenJDKのネットワークコンポーネントに複数の欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこれらの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2017-3261、CVE-2017-3231）DES/3DES暗号がTLS/SSLプロトコルの一部として使用される方法に欠陥が見つかりました。通信でDES/3DESベースの暗号スイートが使用されていた場合、中間にいる攻撃者がこの欠陥を悪用して、TLS/SSLサーバーとクライアントの間で大量の暗号化されたトラフィックをキャプチャすることにより、平文データを復元する可能性があります。この更新プログラムでは、3DES暗号スイートを（jdk.tls.legacyAlgorithmsセキュリティプロパティを使用して定義された）レガシーアルゴリズムのリストに追加して、接続するTLS/SSLクライアントとサーバーが他の非レガシー暗号スイートを共有しない場合にのみ3DES暗号スイートが使用されるようにすることで、この問題を緩和します。（CVE-2016-2183）

検出

Amazon Linux AMI：java－1.7.0－openjdk（ALAS-2017-797）

critical Nessus プラグイン ID 97147

バージョン 3.5