flash-plugin の更新プログラムが、Red Hat Enterprise Linux 6 Supplementary で利用可能になりました。

Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。

flash-plugin パッケージには、Mozilla Firefox と互換性のある Adobe Flash Player Web ブラウザープラグインが含まれています。

この更新プログラムで、Flash Playerをバージョン 24.0.0.186 にアップグレードします。

セキュリティ修正プログラム:

* この更新は、Adobe Flash Player の複数の脆弱性を修正します。
これらの脆弱性は、「参照」セクションに記載されているAdobe Security Bulletinで詳細に説明されています。これらの脆弱性により、攻撃者が特別に細工されたSWFファイルを作成し、被害者がその悪意のあるSWFコンテンツを含むページを読み込むと、flash-pluginのクラッシュ、任意のコードの実行、または秘密情報の漏洩を引き起こす可能性があります。
(CVE-2016-7867、CVE-2016-7868、CVE-2016-7869、CVE-2016-7870、CVE-2016-7871、CVE-2016-7872、CVE-2016-7873、CVE-2016-7874、CVE-2016-7875、CVE-2016-7876、CVE-2016-7877、CVE-2016-7878、CVE-2016-7879、CVE-2016-7880、CVE-2016-7881、CVE-2016-7890、CVE-2016-7892)

firefoxの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、オープンソースのWebブラウザーです。この更新プログラムで、Firefoxがバージョン45.6.0 ESRにアップグレードされます。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に、複数の欠陥が見つかりました。悪意のあるコンテンツを含むWebページが、Firefoxをクラッシュさせたり、Firefoxを実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2016-9893、CVE-2016-9899、CVE-2016-9895、CVE-2016-9897、CVE-2016-9898、CVE-2016-9900、CVE-2016-9901、CVE-2016-9902、CVE-2016-9904、CVE-2016-9905）Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、Philipp氏、Wladimir Palant氏、Nils氏、Jann Horn氏、Aral氏、Andrew Krasichkov氏、insertscript氏、Jan de Mooij氏、Iris Hsiao氏、Christian Holler氏、Carsten Book氏、Timothy Nikkel氏、Christoph Diehl氏、Olli Pettay氏、Raymond Forbes氏、Boris Zbarsky氏を最初の報告者として認識しています。

chromium-browserの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Chromiumは、WebKit（Blink）で稼働するオープンソースのWebブラウザーです。この更新プログラムで、Chromiumをバージョン55.0.2883.75にアップグレードします。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に、複数の欠陥が見つかりました。悪意のあるコンテンツを含む Web ページにより、被害者がアクセスした際に Chromium がクラッシュする、任意のコードが実行される、または機密情報が漏洩する可能性があります。（CVE-2016-5203、CVE-2016-5204、CVE-2016-5205、CVE-2016-5206、CVE-2016-5207、CVE-2016-5208、CVE-2016-5209、CVE-2016-5210、CVE-2016-5211、CVE-2016-5212、CVE-2016-5213、CVE-2016-9651、CVE-2016-9652、CVE-2016-5214、CVE-2016-5215、CVE-2016-5216、CVE-2016-5217、CVE-2016-5218、CVE-2016-5219、CVE-2016-5220、CVE-2016-5221、CVE-2016-5222、CVE-2016-5223、CVE-2016-5224、CVE-2016-5225 、CVE-2016-5226、CVE-2016-9650）

bindの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。sudoパッケージには、sudoユーティリティが含まれており、システム管理者はこのユーティリティで、特定のユーザーに対して、rootとしてログインすることなく、システムの管理目的で使用され、権限が必要なコマンドの実行のアクセス許可を与えることができます。セキュリティ修正プログラム：* ユーザーが与えた引数でsystem()、popen()、wordexp()のCライブラリの関数を実行したsudoを介してアプリケーションを実行した場合、sudo noexecの制限がバイパスされる可能性があることがわかりました。noexecの制限付きでsudo経由でそのようなアプリケーションを実行することを許可されたローカルのユーザーが、こうした欠陥を利用して昇格した権限で任意のコマンドを実行する可能性があります。（CVE-2016-7032、CVE-2016-7076）これらの問題は、Florian Weimer氏（Red Hat）によって発見されました。

BINDの更新プログラムが、Red Hat Enterprise Linux 6.2 Advanced Update Support、Red Hat Enterprise Linux 6.4 Advanced Update Support、Red Hat Enterprise Linux 6.5 Advanced Update Support、Red Hat Enterprise Linux 6.5 Telco Extended Update Support、Red Hat Enterprise Linux 6.6 Advanced Update Support、Red Hat Enterprise Linux 6.6 Telco Extended Update Support、Red Hat Enterprise Linux 6.7 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。BIND（Berkeley Internet Name Domain）は、DNS（ドメインネームシステム）プロトコルの実装です。BINDには、DNSサーバー（named）、リゾルバーライブラリ（DNSとインターフェイス接続する時に使用するアプリケーション用ルーチン）、DNSサーバーが正常動作していることを検証するツールが含まれます。セキュリティ修正プログラム：* BINDがDNAMEの回答を含む応答を処理する方法に、サービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、特別に細工されたDNS応答によるアサーション失敗で、namedを突然終了させる可能性があります。（CVE-2016-8864）Red Hatは、この問題について報告してくれたISCに感謝の意を表します。アップストリームは、Tony Finch氏（ケンブリッジ大学）とMarco Davids氏（SIDN Labs）を最初の報告者として認識しています。

thunderbirdの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムで、Thunderbirdをバージョン45.5.1にアップグレードします。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に欠陥が見つかりました。悪意あるコンテンツを含むWebページにより、Thunderbirdをクラッシュさせたり、Thunderbirdを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2016-9079）Red Hatは、この問題を報告してくれたMozillaプロジェクトに感謝の意を表します。

firefoxの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、オープンソースのWebブラウザーです。この更新プログラムで、Firefoxがバージョン45.5.1 ESRにアップグレードされます。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に欠陥が見つかりました。悪意のあるコンテンツを含むWebページが、Firefoxをクラッシュさせたり、Firefoxを実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2016-9079）Red Hatは、この問題を報告してくれたMozillaプロジェクトに感謝の意を表します。

thunderbirdの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムは、Thunderbirdをバージョン45.5.0にアップグレードします。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に、複数の欠陥が見つかりました。悪意あるコンテンツを含むWebページにより、Thunderbirdをクラッシュさせたり、Thunderbirdを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2016-5290） Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、Olli Pettay氏、Christian Holler氏、Ehsan Akhgari氏、Jon Coppeard氏、Gary Kwong氏、Tooru Fujisawa氏、Philipp氏、Randell Jesup氏を最初の報告者として認識しています。

expatの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Expatは、XMLドキュメントを解析するためのCライブラリです。セキュリティ修正プログラム：* Expatで特定の入力を処理する方法に、領域外読み取りの欠陥が見つかりました。リモートの攻撃者は、Expatライブラリを使用しているアプリケーションによって解析されたときにアプリケーションをクラッシュさせるか、アプリケーションを実行しているユーザーのアクセス許可で任意のコードを実行する特別に細工されたXMLを送信する可能性があります。（CVE-2016-0718）Red Hatは、この問題を報告してくれたGustavo Grieco氏に感謝の意を表します。

memcachedの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションでCVEリンクから脆弱性ごとに入手できます。memcachedは、本来は包括的な高性能分散メモリオブジェクトキャッシングシステムですが、データベースの負荷を軽減して動的なWebアプリケーションを高速化するために使用されます。セキュリティ修正プログラム：* ヒープベースのバッファオーバーフローを引き起こす2つの整数オーバーフローの欠陥が、memcachedバイナリプロトコルで見つかりました。攻撃者が特別に細工されたメッセージを作成して、memcachedサーバーのクラッシュを引き起こすか、任意のコードを実行する可能性があります。（CVE-2016-8704、CVE-2016-8705）

memcachedの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションでCVEリンクから脆弱性ごとに入手できます。memcachedは、本来は包括的な高性能分散メモリオブジェクトキャッシングシステムですが、データベースの負荷を軽減して動的なWebアプリケーションを高速化するために使用されます。セキュリティ修正プログラム：* ヒープベースのバッファオーバーフローを引き起こす2つの整数オーバーフローの欠陥が、memcachedバイナリプロトコルで見つかりました。攻撃者が特別に細工されたメッセージを作成して、memcachedサーバーのクラッシュを引き起こすか、任意のコードを実行する可能性があります。（CVE-2016-8704、CVE-2016-8705）* ヒープベースのバッファオーバーフローを発生させる整数オーバーフローの欠陥が、memcachedのSASL認証メッセージの解析に見つかりました。攻撃者が特別に細工されたメッセージを作成して、memcachedサーバーのクラッシュを引き起こすか、任意のコードを実行する可能性があります。（CVE-2016-8706）

リモートの Redhat Enterprise Linux 7 ホストには、RHSA-2016:2809 アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - ipsilon: 開いているすべての SAML2 セッションのログアウトによる DoS (CVE-2016-8638)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

RHEL 6対応のRed Hat JBoss Enterprise Webサーバー2およびRHEL 7対応のRed Hat JBoss Enterprise Webサーバー2の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache Tomcatは、JavaサーブレットとJavaServer Pages（JSP）技術のサーブレットコンテナです。Red Hat JBoss Web Server 2.1.2のこのリリースは、Red Hat JBoss Web Server 2.1.1を置換するものとして機能します。Tomcat 7コンポーネントのセキュリティ修正プログラムが含まれています。このリリースで提供されている修正を適用する必要があるのは、JBoss Web ServerのTomcat 7コンポーネントのユーザーのみです。セキュリティ修正プログラム：* Tomcatのマネージャーとホストマネージャーのアプリケーションのインデックスページで、CSRFの欠陥が見つかりました。これらのアプリケーションは、認証されていないリクエストの結果としてリダイレクトをWebアプリケーションのルートに発行するときに、有効なCSRFトークンを含んでいました。攻撃者がこのトークンを利用し、CSRF攻撃を実行する可能性があります。（CVE-2015-5351）* いくつかのTomcatセッション維持メカニズムにより、認証されたリモートのユーザーが意図されたSecurityManager制限をバイパスしたり、セッションに細工されたオブジェクトを配置するWebアプリケーションを介して権限のあるコンテキスト内で任意のコードを実行したりする可能性があることがわかりました。（CVE-2016-0714）* セキュリティマネージャーのバイパスの欠陥がTomcatに見つかり、認証されたリモートのユーザーが任意のアプリケーションデータへアクセスし、結果としてサービス拒否を引き起こす可能性があります。（CVE-2016-0763）* Commons FileUploadにサービス拒否の脆弱性が見つかりました。これは、マルチパート境界が通常のように数十バイトの長さで、境界の長さが、アップロードされたファイルの読み取りに使用するバッファサイズ（4096バイト）未満である場合に発生しました。（CVE-2016-3092）* TomcatがrequestedSessionSSLフィールドをリサイクルする方法に、セッション固定攻撃の欠陥が見つかりました。少なくとも1つのWebアプリケーションがSSLセッションIDをHTTPセッションIDとして使用するように構成されている場合、攻撃者が追加のリクエストに対して以前使用されたセッションIDを再利用する可能性があります。（CVE-2015-5346）*セキュリティマネージャーが構成されるときに、TomcatがStatusManagerServletをWebアプリケーションにより読み込む可能性があることがわかりました。これにより、Webアプリケーションが導入されたすべてのWebアプリケーションを一覧表示し、セッションIDなどの秘密情報を漏えいさせることが可能でした。（CVE-2016-0706）

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2016:2802 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - openssl: OCSP Status Request 拡張の無制限のメモリ増加 (CVE-2016-6304)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

firefoxの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、オープンソースのWebブラウザーです。この更新プログラムで、Firefoxがバージョン45.5.0 ESRにアップグレードされます。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に、複数の欠陥が見つかりました。悪意のあるコンテンツを含むWebページが、Firefoxをクラッシュさせたり、Firefoxを実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2016-5296、CVE-2016-5297、CVE-2016-9066、CVE-2016-5291、CVE-2016-5290）* Firefoxがアドオン更新プロセスを処理する方法に欠陥が見つかりました。中間にいる攻撃者がこの欠陥を利用して、悪意のある署名済みのアドオン更新プログラムをインストールする可能性があります。（CVE-2016-9064） Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、Abhishek Arya氏、Andre Bargull氏、Samuel Gross氏、Yuyang Zhou氏、Olli Pettay氏、Christian Holler氏、Ehsan Akhgari氏、Jon Coppeard氏、Gary Kwong氏、Tooru Fujisawa氏、Philipp氏、Randell Jesup氏を最初の報告者として認識しています。

nssおよびnss-utilの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。NSS（Network Security Services）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするライブラリセットです。nss-utilパッケージは、NSS（Network Security Services）ライブラリで使用するためのユーティリティを提供します。次のパッケージが新しいアップストリームバージョンにアップグレードされました：nss（3.21.3）、nss-util（3.21.3）。セキュリティ修正プログラム：* NSSがネットワークからの暗号データ​​を処理する方法に、複数のバッファ処理の欠陥が見つかりました。リモートの攻撃者はこれらの欠陥を利用して、NSSを使用しているアプリケーションをクラッシュさせるか、そのアプリケーションを実行しているユーザーのアクセス許可で任意のコードを実行する可能性があります。（CVE-2016-2834）* NSSが無効なDiffie-Hellmanキーを処理する方法にNULLポインターのデリファレンスの欠陥が見つかりました。リモートクライアントは、この欠陥を利用してNSSを使用しているTLS/SSLサーバーをクラッシュさせる可能性があります。（CVE-2016-5285）* NSSでのDiffie Hellmanクライアントキー交換処理が、小サブグループの限定攻撃に対して脆弱であることがわかりました。攻撃者は、クライアントのDHキーを目的のグループの小さいサブグループに限定することにより、この欠陥を利用して秘密キーを回復する可能性があります。（CVE-2016-8635）Red Hatは、CVE-2016-2834を報告してくれたMozillaプロジェクトに感謝の意を表します。CVE-2016-8635の問題は、Hubert Kario氏（Red Hat）により発見されました。アップストリームは、Tyson Smith氏とJed Davis氏をCVE-2016-2834の最初の報告者として認識しています。

カーネルの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：* procfsでecryptfsをマウントし、/proc/environをマッピングして再帰を作成することで実証されているように、Linuxカーネルのprocfsにファイルシステムをスタックすると、深いネストによりカーネルスタックがオーバーフローする可能性があることがわかりました。権限のないローカルユーザーがこの欠陥を利用して、システム上で権限を昇格させる可能性があります。（CVE-2016-1583、重要度高）* s390xで、4つのページテーブルレベルのあるプロセスのforkにより、さまざまな症状のメモリ破損が引き起こされることが報告されました。すべてのプロセスが3つのレベルのページテーブルとアドレススペースに対する4TBの制限で作成されます。親プロセスに8PBの制限のある4つのページテーブルのレベルがある場合、アドレススペースを重複する関数が、子プロセスのアドレススペース制限の外のメモリ領域をコピーしようとします。（CVE-2016-2143、重要度中）バグ修正プログラム：* Highメモリがマッピングされたマルチスレッドワークロードの使用で、コンテキストスイッチとページテーブルのアップグレードの競合状態によりカーネルパニックが発生することがありました。この更新では、asce_bitsパラメーターの代わりにcomplete asceパラメーターを使用してswitch_mm()を修正しました。その結果、前述のシナリオでカーネルパニックが発生することはなくなりました。（BZ#1377472）* iptablesがTCP（トランスミッションコントロールプロトコル）リセットパケットを作成したとき、SKB（ソケットバッファ）内のTCPヘッダに初期化されていないポインターによりカーネルクラッシュが発生する可能性があります。この更新により、IPv4とIPv6の両方のTCPリセットでトランスポートヘッダのポインターが修正され、前述の状況でカーネルがクラッシュしなくなりました。（BZ#1372266）* 以前は、EEH（エラー処理強化）メカニズムがPCI設定空間へのアクセスをブロックせず、エラーが検出されるとカーネルパニックが発生していました。この更新ではEEHを修正することで、この問題が修正されています。その結果、前述のシナリオでカーネルパニックが発生することはなくなりました。（BZ#1379596）* lockdサービスを完全に起動できなかったとき、通知チェーンに通知ブロックが複数回登録されることがあり、通知チェーン上に循環リストが発生していました。その結果、ソフトロックアップまたはカーネルエラーが発生しました。この更新により、lockdが完全に起動しない場合は通知ブロックが登録されず、前述の状況下でソフトロックアップまたはカーネルエラーが発生しなくなりました。（BZ#1375637）* FCoE（ファイバーチャンネルオーバーイーサネット）が設定されているときに、FCoE MaxFrameSizeパラメーターが不適切に1452に制限されていました。この更新により、NETIF_F_ALL_FCOEシンボルが無視されなくなり、前述のバグが修正されます。MaxFrameSizeが正しい値である2112に制限されるようになりました。（BZ#1381592）* fnicドライバーがCisco UCSブレードサーバーにインストールされているときに、ディスクが特定の状況下で次のエラーメッセージを表示してオフライン状態になりました。「媒体アクセスのタイムアウトエラーです。ディスクをオフラインにしています」この更新ではfnicが修正され、中断操作が完了した後、SCSI（スモールコンピュータシステムインターフェイス）ステータスがDID_ABORTとして設定されます。この結果、前述の状況下でディスクがオフライン状態に移行しなくなりました。（BZ＃1382620）

389-ds-baseの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重大度評価を提供する共通脆弱性評価システム（CVSS）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。389 Directory Serverは、LDAPバージョン3（LDAPv3）に準拠しているサーバーです。基本パッケージには、LDAP（Lightweight Directory Access Protocol）サーバー、サーバー管理用のコマンドラインユーティリティが含まれています。セキュリティ修正プログラム：* 匿名ユーザーがデフォルトのACI（アクセス制御命令）を取得する可能性のある欠陥の脆弱性が、389 Directory Serverにあることがわかりました。これにより秘密情報が漏えいする可能性があります。（CVE-2016-5416）* 情報漏えいの欠陥が、389ディレクトリサーバーに見つかりました。特定のLDAPサブツリーのオブジェクトにアクセスできないユーザーが、特定のオブジェクト名でLDAP ADD操作を送信する可能性があります。ユーザーに返されるエラーメッセージは、標的のオブジェクトがあるかどうかによって異なります。（CVE-2016-4992）* タイミング攻撃でリモートパスワードが漏えいする脆弱性が、389ディレクトリサーバーにあることがわかりました。リモートの攻撃者は、多くの試行のあとにこの欠陥を利用してディレクトリサーバーのパスワードを取得する可能性があります。（CVE-2016-5405）CVE-2016-5416の問題は、Viktor Ashirov氏（Red Hat）が発見しました。CVE-2016-4992の問題はPetr Spacek氏（Red Hat）とMartin Basti氏（Red Hat）が発見しました。CVE-2016-5405の問題はWilliam Brown氏（Red Hat）が発見しました。バグ修正プログラム：* 以前は、変更ログイテレータバッファのバグにより、バッファを再読み込みするときに不適切な位置を指していました。これにより、レプリケーションは変更ログの一部をスキップし、その結果一部の変更は複製されませんでした。このバグは修正されており、不適切に再読み込みされた変更ログバッファによるレプリケーションデータが消失することはなくなりました。（BZ#1354331）* 以前は、アカウントポリシープラグインなどのコンシューマーで内部的な変更が生成され、同じ属性に対する追加の変更がレプリケーションから受信された場合、バグによりDirectory Serverコンシューマーの状態情報を蓄積していました。このバグは、置換操作が既存の属性削除変更シーケンス番号（CSN）よりも新しい場合にのみ適用され、状態情報がこの状態に蓄積されなくすることで修正されました。（BZ#1379599）拡張機能：* 複数のマスターが同時に更新プログラムを受け取るマルチマスターレプリケーション環境では、以前はネットワーク接続が遅いなどの問題によって、単一のマスターがレプリカへの排他的アクセス権を取得し、それを非常に長く保持することが可能でした。この間、他のマスターは同じレプリカへのアクセスをブロックされ、レプリケーション処理が大幅に遅くなりました。この更新プログラムで、タイムアウトの秒単位での指定に使用できる新しい構成属性「nsds5ReplicaReleaseTimeout」が追加されました。指定されたタイムアウト時間が経過すると、マスターはレプリカをリリースし、他のマスターがそれにアクセスして更新プログラムを送信できるようにします。（BZ＃1358390）

chromium-browserの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Chromiumは、WebKit（Blink）で稼働するオープンソースのWebブラウザーです。この更新プログラムで、Chromiumをバージョン54.0.2840.100にアップグレードします。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に、複数の欠陥が見つかりました。悪意のあるコンテンツを含む Web ページにより、被害者がアクセスした際に Chromium がクラッシュする、任意のコードが実行される、または機密情報が漏洩する可能性があります。（CVE-2016-5199、CVE-2016-5200、CVE-2016-5202、CVE-2016-5201）

policycoreutilsの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このpolicycoreutilsパッケージには、SELinux環境を管理するために必要なコアポリシーユーティリティが含まれています。セキュリティ修正プログラム：* policycoreutilsで提供されているサンドボックスツールがTIOCSTI ioctl攻撃に対して脆弱であることがわかりました。sandboxコマンドで実行される特別に細工されたプログラムは、この欠陥を利用して親シェルのコンテキストで任意のコマンドを実行し、サンドボックスをエスケープする可能性があります。（CVE-2016-7545）

カーネルの更新プログラムが、Red Hat Enterprise Linux 7.2 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：* LinuxカーネルのIPv6実装で、ソケットオプションが不適切に処理されていることがわかりました。ローカルの攻撃者が、ソケットオプションへの同時アクセスを悪用して権限を昇格させたり、細工されたsendmsgシステムコールを介してサービス拒否（use-after-freeやシステムクラッシュ）を引き起こしたりする可能性があります。（CVE-2016-3841、重要度高）追加の変更：スペースの関係上、このアドバイザリに含まれているバグ修正および拡張機能がすべて文書化されているわけではありません。バグ修正および拡張機能の完全なリストについては、KnowledgeBaseの記事（https://access.redhat.com/articles/2754251）を参照してください。

systemdの更新プログラムが、Red Hat Enterprise Linux 7.2 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新プログラムがセキュリティに及ぼす影響の重要度を中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。systemdパッケージには、Linux用のシステムおよびサービスのマネージャーであるsystemdが含まれます。このsystemdはSysVおよびLSB initスクリプトと互換性があります。これは積極的な並列化機能を提供し、起動サービスにソケットとD-Busの有効化を使用し、デーモンのオンデマンド起動を提供し、Linux cgroupsを使用したプロセスを記録します。また、システム状態のスナップショットと復元をサポートし、マウントポイントと自動マウントポイントを維持し、複雑なトランザクション依存ベースのサービス制御ロジックを実装します。これはsysvinitの完全な互換品としても機能します。セキュリティ修正プログラム：* systemdが空の通知メッセージを処理する方法に欠陥が見つかりました。ローカルの攻撃者がこの欠陥を利用して、systemdに実行をフリーズさせ、systemdを介したシステムサービス、システムシャットダウン、ゾンビプロセス収集の管理ができないようにする可能性があります。（CVE-2016-7795）バグ修正プログラム：* これまでudevデバイスマネージャーは、IBM z Systemのインストールですべてのメモリーバンクを自動的に有効にしていました。その結果、ホットプラグメモリが自動的に有効になりましたが、この処理は不適切です。この更新により、udevルールにシステムアーキテクチャチェックが追加され、問題に対処しました。その結果、ホットプラグメモリは自動的に有効になることはなくなりました。（BZ#1375603）

flash-pluginの更新プログラムが、Red Hat Enterprise Linux 5 SupplementaryおよびRed Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。flash-pluginパッケージには、Mozilla Firefoxと互換性のあるAdobe Flash Player Webブラウザープラグインが含まれています。この更新プログラムで、Flash Playerがバージョン11.2.202.644にアップグレードされます。セキュリティ修正プログラム：* この更新では、Adobe Flash Playerの複数の脆弱性が修正されます。これらの脆弱性は、「参照」セクションに記載されているAdobe Security Bulletinで詳細に説明されています。これらの脆弱性により、攻撃者が特別に細工されたSWFファイルを作成し、被害者がその悪意のあるSWFコンテンツを含むページを読み込むと、flash-pluginのクラッシュ、任意のコードの実行、または秘密情報の漏えいを引き起こす可能性があります。（CVE-2016-7857、CVE-2016-7858、CVE-2016-7859、CVE-2016-7860、CVE-2016-7861、CVE-2016-7862、CVE-2016-7863、CVE-2016-7864、CVE-2016-7865）

pacemakerの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pacemakerクラスタリソースマネージャーは、互いに連携してデータの整合性や、障害の際にアプリケーションの可用性を提供するテクノロジーのコレクションです。セキュリティ修正プログラム：* Pacemakerで、IPCインターフェイスを適切に保護していなかった認可の欠陥が見つかりました。Pacemakerノード上に権限のないアカウントを持つ攻撃者がこの欠陥を利用して、たとえばローカルリソースマネージャデーモンにスクリプトをrootとして実行させ、マシン上でrootアクセスを得る可能性があります。（CVE-2016-7035）この問題はJan「poki」Pokorny氏（Red Hat）とAlain Moulle氏（ATOS/BULL）によって発見されました。

libgcryptの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。libgcryptライブラリは、さまざまな暗号アルゴリズムの汎用実装を提供します。セキュリティ修正プログラム：* libgcryptのPRNG（擬似乱数発生器）でデザインの欠陥が見つかりました。PRNG出力の最初の580バイトを入手できる攻撃者が、次の20バイトを予測する可能性があります。（CVE-2016-6313）Red Hatは、この問題を報告してくれたFelix Dorre氏とVladimir Klebanov氏に感謝の意を表します。

chromium-browserの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Chromiumは、WebKit（Blink）で稼働するオープンソースのWebブラウザーです。この更新プログラムで、Chromiumをバージョン54.0.2840.90にアップグレードします。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に欠陥が見つかりました。悪意のあるコンテンツを含む Web ページにより、被害者がアクセスした際に Chromium がクラッシュする、任意のコードが実行される、または機密情報が漏洩する可能性があります。（CVE-2016-5198）

java-1.6.0-ibmの更新プログラムが、Red Hat Enterprise Linux 5 SupplementaryおよびRed Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン6には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 6がバージョン6 SR16-FP35にアップグレードされます。セキュリティ修正プログラム：* この更新では、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットの複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションに一覧表示されているIBM Javaセキュリティアラートのページを参照してください。（CVE-2016-5542、CVE-2016-5554、CVE-2016-5556、CVE-2016-5573、CVE-2016-5597）

java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* 特定の状況で、OpenJDKのHotspotコンポーネントがSystem.arraycopy()関数の引数を適切にチェックしないことがわかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、仮想マシンのメモリを破損し、Javaサンドボックスの制限を完全にバイパスする可能性があります。（CVE-2016-5582）* OpenJDKのHotspotコンポーネントが、受信したJDWP（Java Debug Wire Protocol）パケットを適切にチェックしないことがわかりました。攻撃者はこの欠陥を利用して、デバッグされたアプリケーションのJDWPポートに被害者のブラウザーからHTTP要求を送信することに成功した場合、デバッグを有効にして実行中のJavaプログラムにデバッグコマンドを送信する可能性があります。（CVE-2016-5573）* OpenJDKのライブラリコンポーネントが、Jarの整合性検証に使用される一連のアルゴリズムを制限しないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。（CVE-2016-5542）注意：この更新後、MD2ハッシュアルゴリズムと1024ビット未満のRSAキーは、デフォルトでJarの整合性検証に使用できなくなります。MD5ハッシュアルゴリズムは、今後の更新によりデフォルトで無効化される予定です。新しく導入されたセキュリティプロパティのjdk.jar.disabledAlgorithmsが無効化されたアルゴリズムのセットの制御に使用される可能性があります。* OpenJDKのJMXコンポーネントがクラスローダーを処理する方法に、欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5554）* OpenJDKのNetworkingコンポーネントがHTTPプロキシ認証を処理する方法に欠陥が見つかりました。プロキシが認証を求めた場合、JavaアプリケーションはHTTPプロキシへのプレーンテキストネットワーク接続を介してHTTPSサーバー認証の資格情報を公開する可能性があります。（CVE-2016-5597）注意：この更新後、HTTPプロキシ経由でHTTPS接続をトンネリングするときに、基本HTTPプロキシ認証を使用できなくなります。新しく導入されたシステムプロパティjdk.http.auth.proxying.disabledSchemesおよびjdk.http.auth.tunneling.disabledSchemesを使用して、それぞれのHTTPプロキシおよびHTTPS接続をプロキシするときにHTTPプロキシがリクエストできる認証スキームを制御できます。

Dockerの更新プログラムが、Red Hat Enterprise Linux 7 Extrasで利用可能になりました。Red Hat製品セキュリティは、この更新プログラムがセキュリティに及ぼす影響の重要度を中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Dockerはオープンソースエンジンで、任意のアプリケーションの展開を軽量でポータブルかつ自己充足型のコンテナとして自動化します。これは仮想環境でどこでも実行されます。セキュリティ修正プログラム：* Dockerがユーザー名ではなく特定のUIDでコンテナを起動することがわかりました。コンテナを起動できる攻撃者が、この欠陥を利用して、起動されたコンテナで権限をrootまで昇格する可能性があります。（CVE-2016-3697）この問題は、Mrunal Patel氏（Red Hat）により発見されました。バグ修正プログラム：* この更新では、さまざまなバグの修正や拡張機能も提供されます。ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

bindの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。BIND（Berkeley Internet Name Domain）は、DNS（ドメインネームシステム）プロトコルの実装です。BINDには、DNSサーバー（named）、リゾルバーライブラリ（DNSとインターフェイス接続する時に使用するアプリケーション用ルーチン）、DNSサーバーが正常動作していることを検証するツールが含まれます。セキュリティ修正プログラム：* BINDがDNAMEの回答を含む応答を処理する方法に、サービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、特別に細工されたDNS応答によるアサーション失敗で、namedを突然終了させる可能性があります。（CVE-2016-8864）Red Hatは、この問題について報告してくれたISCに感謝の意を表します。アップストリームは、Tony Finch氏（ケンブリッジ大学）とMarco Davids氏（SIDN Labs）を最初の報告者として認識しています。

pacemakerの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pacemakerクラスタリソースマネージャーは、互いに連携してデータの整合性や、障害の際にアプリケーションの可用性を提供するテクノロジーのコレクションです。セキュリティ修正プログラム：* Pacemakerで、IPCインターフェイスを適切に保護していなかった認可の欠陥が見つかりました。Pacemakerノード上に権限のないアカウントを持つ攻撃者がこの欠陥を利用して、たとえばローカルリソースマネージャデーモンにスクリプトをrootとして実行させ、マシン上でrootアクセスを得る可能性があります。（CVE-2016-7035）この問題はJan「poki」Pokorny氏（Red Hat）とAlain Moulle氏（ATOS/BULL）によって発見されました。バグ修正プログラム：* Red Hat Enterprise Linux 7.3のPacemakerのバージョンでは、リモートノードプロトコルのバージョン番号が増加しています。その結果、Red Hat Enterprise Linux 7.3でPacemakerを実行しているクラスタノードとそれより前のバージョンのRed Hat Enterprise Linuxを実行していたリモートノードは、事前に特別な対策を取られていない限り、互いに通信できませんでした。この更新により、ローリングアップグレード機能が維持されます。（BZ＃1389023）

systemdの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。systemdパッケージには、Linux用のシステムおよびサービスのマネージャーであるsystemdが含まれます。このsystemdはSysVおよびLSB initスクリプトと互換性があります。これは積極的な並列化機能を提供し、起動サービスにソケットとD-Busの有効化を使用し、デーモンのオンデマンド起動を提供し、Linux cgroupsを使用したプロセスを記録します。また、システム状態のスナップショットと復元をサポートし、マウントポイントと自動マウントポイントを維持し、複雑なトランザクション依存ベースのサービス制御ロジックを実装します。これはsysvinitの完全な互換品としても機能します。セキュリティ修正プログラム：* systemdが空の通知メッセージを処理する方法に欠陥が見つかりました。ローカルの攻撃者がこの欠陥を利用して、systemdに実行をフリーズさせ、systemdを介したシステムサービス、システムシャットダウン、ゾンビプロセス収集の管理ができないようにする可能性があります。（CVE-2016-7795）バグ修正プログラム：* これまでudevデバイスマネージャーは、IBM z Systemのインストールですべてのメモリーバンクを自動的に有効にしていました。その結果、ホットプラグメモリが自動的に有効になりましたが、この処理は不適切です。この更新により、udevルールにシステムアーキテクチャチェックが追加され、問題に対処しました。その結果、ホットプラグメモリは自動的に有効になることはなくなりました。（BZ＃1381123）

postgresqlの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。PostgreSQLは、高度なオブジェクトリレーショナルデータベース管理システム（DBMS）です。postgresql（9.2.18）のパッケージが新しいアップストリームバージョンにアップグレードされました。セキュリティ修正プログラム：* PostgreSQLサーバーがCASE/WHENコマンドを含む特定のSQLステートメントを処理する方法に欠陥が見つかりました。認証されたリモートの攻撃者が特別に細工されたSQLステートメントを使用して、PostgreSQLをクラッシュまたはサーバーメモリの数バイトを漏えいさせたり、任意のコードを実行したりする可能性があります。（CVE-2016-5423）* PostgreSQLクライアントプログラムが、改行、復帰、二重引用符、またはバックスラッシュを含むデータベース名およびロール名を処理する方法に欠陥が見つかりました。このようなオブジェクト名を細工することで、次回スーパーユーザーが脆弱なクライアントプログラムで保守作業を実行したとき、CREATEDBまたはCREATEROLEオプション付きのロールの権限がスーパーユーザーに昇格する可能性があります。（CVE-2016-5424）Red Hatは、この問題を報告してくれたPostgreSQLプロジェクトに感謝の意を表します。アップストリームは、Heikki Linnakangas氏をCVE-2016-5423の最初の報告者、Nathan Bossar氏をCVE-2016-5424の最初の報告者として認識しています。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

util-linuxの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。

Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。

util-linuxパッケージには、さまざまなローレベルのシステムユーティリティが含まれています。これらのユーティリティはLinuxシステムが機能するのに必要です。重要なfdisk構成ツールとログインプログラムが含まれています。

セキュリティ修正プログラム:

* util-linuxのlibblkidライブラリが、MS-DOSパーティションテーブルを読み込んだときにEBR（拡張ブートレコード）のパーティションを適切に処理していないことがわかりました。保護されたマシンへ物理USBでアクセスできる攻撃者は、systemd-udevdに無限ループをトリガーしてマシンでサービス拒否を起こすなど、特別に細工されたパーティションテーブルを持つストレージデバイスを挿入する可能性があります。
（CVE-2016-5011）

Red Hatは、この問題を報告してくれたMichael Gruhn氏に感謝の意を表します。
アップストリームは、Christian Moch氏を最初の報告者として認識しています。

追加の変更:

このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

resteasy-baseの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。RESTEasyには、RESTful WebサービスおよびRESTful Javaアプリケーションの構築を支援するためのフレームワークを提供するJBossプロジェクトが含まれています。これは完全に認定され、JAX-RS仕様のポータルブル実装となっています。セキュリティ修正プログラム：* 特定の条件下でRESTEasyが強制的にSerializableProviderへのリクエストを解析し、潜在的に信頼できないデータの逆シリアル化を招く可能性があることがわかりました。攻撃者はこの欠陥を利用し、RESTEasyを使用するアプリケーションのアクセス許可で任意のコードを実行する可能性があります。（CVE-2016-7050）Red Hatは、この問題を報告してくれたMikhail Egorov氏（Odin）に感謝の意を表します。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

libreswanの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。libreswanはLinux用のIPsec IKEの実装です。IPsecはインターネットプロトコルセキュリティです。また、強力な暗号を使用して認証および暗号化サービスの両方を提供します。これらのサービスを使用することで、VPN（仮想プライベートネットワーク）のような信頼できないネットワークから安全なトンネルを構築できるようになります。セキュリティ修正プログラム：* IKEv1（インターネットキーエクスチェンジバージョン1）プロトコルで、トラフィック増幅の欠陥が発見されました。リモートの攻撃者はIKEv1を有効にしたlibreswanサーバーを使用し、偽装された送信元アドレスを持つUDPパケットをサーバーに送信して、ネットワーク上の他のホストに対するネットワークトラフィックを増幅させるサービス拒否攻撃をする可能性があります。（CVE-2016-5361）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

mod_nssの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。mod_nssモジュールは、SSL（Secure Sockets Layer）およびTLS（Transport Layer Security）プロトコルを介して、NSS（Network Security Services）セキュリティライブラリを使用し、Apache HTTP Serverに強力な暗号を提供します。mod_nss（1.0.14）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1299063）セキュリティ修正プログラム：* mod_nssがOpenSSLスタイルの暗号化文字列を解析する方法に欠陥が見つかりました。その結果、mod_nssが意図せず有効化された暗号化を使用する可能性があります。（CVE-2016-3099）この問題はRob Crittenden氏（Red Hat）によって発見されました。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

fontconfigの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Fontconfigは、システム内のフォントを設定し、アプリケーションが指定する要件に従ってフォントを選択できるようにできています。セキュリティ修正プログラム：* fontconfigでキャッシュファイルの検証が不十分であったことがわかりました。ローカルの攻撃者が特別に細工されたキャッシュファイルを作成して任意のfree()呼び出しをトリガーすることで、任意のコードが実行される可能性があります。（CVE-2016-5384）Red Hatは、この問題を報告してくれたTobias Stockmann氏に感謝の意を表します。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

squidの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。squidはWebクライアント向けの高性能プロキシキャッシュサーバーであり、FTP、GopherおよびHTTPデータオブジェクトをサポートします。squid（3.5.20）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1273942、BZ#1349775）セキュリティ修正プログラム：* squidがHTTP応答のヘッダーを処理する方法に、アサーション失敗が発生する可能性のある不適切なバウンダリチェックが見つかりました。悪意のあるHTTPサーバーがこの欠陥を利用して、特別に細工されたHTTP応答で、squidをクラッシュさせる可能性があります。（CVE-2016-2569、CVE-2016-2570）* HTTP応答の解析に失敗したときにsquidがエラーを適切に処理せず、アサーション失敗が発生する可能性があることがわかりました。悪意のあるHTTPサーバーがこの欠陥を利用して、特別に細工されたHTTP応答で、squidをクラッシュさせる可能性があります。（CVE-2016-2571、CVE-2016-2572）* アサーション失敗が発生する可能性のある不適切なバウンダリチェックが、squidがHTTP応答のVaryヘッダーを処理する方法に見つかりました。悪意のあるHTTPサーバーがこの欠陥を利用して、特別に細工されたHTTP応答で、squidをクラッシュさせる可能性があります。（CVE-2016-3948）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

tomcatの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache Tomcatは、JavaサーブレットとJavaServer Pages（JSP）技術のサーブレットコンテナです。tomcat（7.0.69）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1287928）セキュリティ修正プログラム：* Tomcatのマネージャーとホストマネージャーのアプリケーションのインデックスページで、CSRFの欠陥が見つかりました。これらのアプリケーションは、認証されていないリクエストの結果としてリダイレクトをWebアプリケーションのルートに発行するときに、有効なCSRFトークンを含んでいました。攻撃者がこのトークンを利用し、CSRF攻撃を実行する可能性があります。（CVE-2015-5351）* いくつかのTomcatセッション維持メカニズムにより、認証されたリモートのユーザーが意図されたSecurityManager制限をバイパスしたり、セッションに細工されたオブジェクトを配置するWebアプリケーションを介して権限のあるコンテキスト内で任意のコードを実行したりする可能性があることがわかりました。（CVE-2016-0714）* セキュリティマネージャーのバイパスの欠陥がTomcatに見つかり、認証されたリモートのユーザーが任意のアプリケーションデータへアクセスし、結果としてサービス拒否を引き起こす可能性があります。（CVE-2016-0763）* Commons FileUploadにサービス拒否の脆弱性が見つかりました。これは、マルチパート境界が通常のように数十バイトの長さで、境界の長さが、アップロードされたファイルの読み取りに使用するバッファサイズ（4096バイト）未満である場合に発生しました。（CVE-2016-3092）* ディレクトリトラバーサルの欠陥がTomcatのRequestUtil.javaで見つかりました。認証されたリモートのユーザーがこの欠陥を利用し、意図されたSecurityManager制限をバイパスし、getResource、getResourceAsStream、getResourcePathsのコールのWebアプリケーションが使用するパス名の「/..」を通じて親ディレクトリを一覧表示する可能性があります。（CVE-2015-5174）* ディレクトリがセキュリティの制約により保護されているときでも、Tomcatがディレクトリの存在を明らかにする可能性があることがわかりました。ユーザーがスラッシュで終了していないURLでディレクトリに対してリクエストを行い、Tomcatがそのリクエストをリダイレクトするかどうかに基づいて、そのディレクトリの存在を確認する可能性があります。（CVE-2015-5345）* セキュリティマネージャーが構成されるときに、TomcatがStatusManagerServletをWebアプリケーションにより読み込む可能性があることがわかりました。これにより、Webアプリケーションが導入されたすべてのWebアプリケーションを一覧表示し、セッションIDなどの秘密情報を漏えいさせることが可能でした。（CVE-2016-0706）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

PHPの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。PHPは、Apache HTTPサーバーで一般的に使用される、HTMLを組み込んだスクリプト言語です。セキュリティ修正プログラム：* PHPのbzread()関数が特定のエラー状態を処理する方法に欠陥が見つかりました。攻撃者はこの欠陥を利用して、特別に細工されたbz2アーカイブをアップロードし、脆弱性のある関数で解析するときに、アプリケーションをクラッシュさせるか、PHPアプリケーションを実行しているユーザーのアクセス許可で任意のコードを実行する可能性があります。（CVE-2016-5399）* ヒープベースのバッファオーバーフローを引き起こす整数オーバーフロー欠陥が、PHPのgd拡張機能のimagecreatefromgd2()関数に見つかりました。リモートの攻撃者がこの欠陥を利用して、特別に細工されたGD2画像を通じたgdを使用して、PHPアプリケーションをクラッシュさせたり、そのPHPアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2016-5766）* ヒープベースのバッファオーバーフローを引き起こす整数オーバーフロー欠陥が、PHPのgd拡張機能のgdImagePaletteToTrueColor()関数に見つかりました。リモートの攻撃者がこの欠陥を利用して、特別に細工された画像バッファを通じたgdを使用して、PHPアプリケーションをクラッシュさせたり、そのPHPアプリケーションを実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2016-5767）* 二重解放の欠陥が、正規表現検索の実行に使用されるphpのmb_ereg_replace_callback()関数に見つかりました。この欠陥は、PHPアプリケーションをクラッシュさせる可能性があります。（CVE-2016-5768）Red Hatは、CVE-2016-5399を報告してくれたHans Jerry Illikainen氏に感謝の意を表します。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

firewalldの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションでCVEリンクから脆弱性ごとに入手できます。firewalldは、D-Busインターフェイスで動的にカスタマイズできるファイアウォールを提供するファイアウォールサービスデーモンです。firewalld（0.4.3.2）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1302802）セキュリティ修正プログラム：* firewalldで認証されていないユーザーに特定のファイアウォール構成の変更を許可する方法に欠陥が見つかりました。ローカルにログインしているユーザーが、この欠陥を利用してファイアウォール設定を改ざんまたは変更する可能性があります。（CVE-2016-5410）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

pcsの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。pcsパッケージには、PacemakerおよびCorosyncユーティリティ用のコマンドライン構成システムが含まれます。pcs（0.9.152）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1299847）セキュリティ修正プログラム：* CSRF（クロスサイトリクエスト偽造）の欠陥が、pcsd Web UIで見つかりました。リモートの攻撃者は特別に細工されたWebページを作成し、pcsdの有効なセッションを持つユーザーがWebページを表示したときに、攻撃者はユーザーになりすましてリソースの削除やノードの再起動/削除などのリクエストをトリガーできるようになる可能性があります。（CVE-2016-0720）* ユーザーがログアウトしたときにpcsdがサーバー側のCookieを無効にしないことがわかりました。これにより、攻撃者がpcsdに対してセッション固定攻撃を行うことができる可能性があります。（CVE-2016-0721）これらの問題は、Martin Prpic氏（Red Hat製品セキュリティ）によって発見されました。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

mariadbの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。MariaDBは、MySQLとバイナリ相互性のあるマルチユーザーかつマルチスレッドSQLデータベースサーバーです。mariadb（5.5.52）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1304516、BZ#1377974）セキュリティ修正プログラム：* MariaDBロギング機能によってMariaDB構成ファイルに書き込みが行われる可能性があることがわかりました。管理データベースユーザーまたはFILE権限を持つデータベースユーザーが、この欠陥を利用して、データベースサーバーを実行しているシステムでroot権限を持つ任意のコマンドを実行する可能性があります。（CVE-2016-6662）* MariaDBがMyISAMエンジンのテーブル修復を行う方法に競合状態が見つかりました。mysqldを実行しているサーバーへのシェルアクセス権を持つデータベースユーザーがこの欠陥を利用して、mysqlシステムユーザーが書き込み可能な任意のファイルのアクセス許可を変更する可能性があります。（CVE-2016-6663）* この更新により、MariaDBデータベースサーバーの複数の脆弱性が修正されます。この欠陥の詳細については、「参照」セクションに一覧表示されているOracle Critical Patch Updateアドバイザリページを参照してください。（CVE-2016-3492、CVE-2016-5612、CVE-2016-5616、CVE-2016-5624、CVE-2016-5626、CVE-2016-5629、CVE-2016-8283）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

389-ds-baseの更新プログラムがRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重大度評価を提供する共通脆弱性評価システム（CVSS）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。389 Directory Serverは、LDAPバージョン3（LDAPv3）に準拠しているサーバーです。基本パッケージには、LDAP（Lightweight Directory Access Protocol）サーバー、サーバー管理用のコマンドラインユーティリティが含まれています。389-ds-base（1.3.5.10）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1270020）セキュリティ修正プログラム：* 匿名ユーザーがデフォルトのACI（アクセス制御命令）を取得する可能性のある欠陥の脆弱性が、389 Directory Serverにあることがわかりました。これにより秘密情報が漏えいする可能性があります。（CVE-2016-5416）* 情報漏えいの欠陥が、389ディレクトリサーバーに見つかりました。特定のLDAPサブツリーのオブジェクトにアクセスできないユーザーが、特定のオブジェクト名でLDAP ADD操作を送信する可能性があります。ユーザーに返されるエラーメッセージは、標的のオブジェクトがあるかどうかによって異なります。（CVE-2016-4992）* タイミング攻撃でリモートパスワードが漏えいする脆弱性が、389ディレクトリサーバーにあることがわかりました。リモートの攻撃者は、多くの試行のあとにこの欠陥を利用してディレクトリサーバーのパスワードを取得する可能性があります。（CVE-2016-5405）CVE-2016-5416の問題は、Viktor Ashirov氏（Red Hat）が発見しました。CVE-2016-4992の問題はPetr Spacek氏（Red Hat）とMartin Basti氏（Red Hat）が発見しました。CVE-2016-5405の問題はWilliam Brown氏（Red Hat）が発見しました。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

sudoの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。sudoパッケージには、sudoユーティリティが含まれており、システム管理者はこのユーティリティで、特定のユーザーに対して、rootとしてログインすることなく、システムの管理目的で使用され、権限が必要なコマンドの実行のアクセス許可を与えることができます。セキュリティ修正プログラム：* デフォルトのsudo設定で、ユーザーの環境からINPUTRCの値が保持され、情報が漏えいする可能性があることがわかりました。readlineを使用する制限されたプログラムへのsudoアクセス権を持つローカルユーザーがこの欠陥を利用して、sudoによって提供される昇格された権限を持ち、特別にフォーマットされたファイルからコンテンツを読む可能性があります。（CVE-2016-7091）注意：この更新プログラムでは、権限が必要なコマンドを呼び出すときにsudoがこの変数の値を保持しないよう、INPUTRCが/etc/sudoersのenv_keepリストから削除されました。Red Hatは、この問題を報告してくれたGrisha Levit氏に感謝の意を表します。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

subscription-manager、subscription-manager-migration-data、python-rhsmの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。subscription-managerパッケージには、ユーザーがRed Hat Entitlementプラットフォームからのサブスクリプションおよびyumリポジトリを管理できるプログラムおよびライブラリが含まれています。subscription-manager-migration-dataパッケージは、システムをレガシーRHN（Red Hat Network）クラシックからRHSM（Red Hat Subscription Management）に移行するための証明書を提供します。python-rhsmパッケージには、Red Hat Unified Entitlement PlatformのREST（Representational State Transfer）インターフェイスと通信するためのライブラリが含まれています。サブスクリプション管理ツールは、このインターフェイスを使用して、システムのエンタイトルメント、証明書、およびコンテンツへのアクセスを管理します。subscription-manager（1.17.15）、python-rhsm（1.17.9）、subscription-manager-migration-data（2.0.31）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1328553、BZ#1328555、BZ#1328559）セキュリティ修正プログラム：* subscription-managerが/var/lib/rhsm/内のファイルに対する緩やかなアクセス許可を設定し、情報漏えいを引き起こすことがわかりました。権限を持たないローカルのユーザーがこの欠陥を利用して、秘密データにアクセスし、ソーシャルエンジニアリング攻撃に使用する可能性があります。（CVE-2016-4455）Red Hatは、この問題を報告してくれたRobert Scheck氏に感謝の意を表します。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

krb5の更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Kerberosはネットワーク認証システムであり、暗号化されていない形式でネットワーク越しにパスワードを送信する安全でない手法を排除することで、使用中のネットワークのセキュリティを向上させることができます。クライアントおよびサーバーが、信頼できる第三者機関であるKDC（Kerberos Key Distribution Center）を使用して互いに認証を行うことが可能になります。krb5（1.14.1）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1292153）セキュリティ修正プログラム：* MIT Kerberosのkadmindサービスに、NULLポインターデリファレンスの欠陥が見つかりました。kadmindがLDAP KDBモジュールを使用するよう構成されている場合、主要なエントリを修正するアクセス許可のある認証された攻撃者がこの欠陥を利用して、modify_principalコマンドに空のDB引数を提供し、kadmindにNULLポインターをデリファレンスさせ、クラッシュを引き起こす可能性があります。（CVE-2016-3119）* MIT Kerberosのkrb5kdcサービスに、NULLポインターデリファレンスの欠陥が見つかりました。restrict_anonymous_to_tgtオプションがtrueに設定されている場合、認証された攻撃者がこの欠陥を利用して、S4U2Selfリクエストを行い、krb5kdcにNULLポインターをデリファレンスさせ、クラッシュを引き起こす可能性があります。（CVE-2016-3120）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

dhcpの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：* リソース消費の欠陥がDHCPサーバーで発見されました。dhcpdは、OMAPIポートおよびフェールオーバーポートへの同時接続数を制限しません。これらのポートの1つにTCP接続を確立できるリモートの攻撃者がこの欠陥を利用して、dhcpdを予期せず終了させたり、リクエストへの応答を停止したり、システムソケットを使い果たしたりするなどのサービス拒否を引き起こす可能性があります。（CVE-2016-2774）Red Hatは、この問題を報告してくれたISCに感謝の意を表します。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

gimpとgimp-helpの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。GIMP（GNU Image Manipulation Program）は、画像作成および編集のプログラムです。GIMPには、チャンネル操作とレイヤー、エフェクト、サブピクセルのイメージングとアンチエイリアシング、変換などの大きなイメージ操作ツールボックスがあり、そのすべてにマルチレベルのundo機能があります。次のパッケージが新しいアップストリームバージョンにアップグレードされました：gimp（2.8.16）、gimp-help（2.8.2）。（BZ#1298226、BZ#1370595）セキュリティ修正プログラム：* XCFファイルをロードするときのチャネルおよびレイヤープロパティの解析プロセスに、GIMPに複数のメモリ解放後使用（Use After Free）の脆弱性が見つかりました。攻撃者が、特別に細工されたXCFファイルを作成してGIMPをクラッシュさせる可能性があります。（CVE-2016-4994）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

ID	名前	深刻度
95820	RHEL 6 : flash-plugin (RHSA-2016: 2947)	high
95819	RHEL 5/6/7：firefox（RHSA-2016:2946）	critical
95622	RHEL 6：chromium-browser（RHSA-2016:2919）	critical
95600	RHEL 6/7：sudo（RHSA-2016:2872）	high
95563	RHEL 6：bind（RHSA-2016:2871）	high
95562	RHEL 5/6/7：thunderbird（RHSA-2016:2850）	high
95465	RHEL 5/6/7：firefox（RHSA-2016:2843）	high
95382	RHEL 5/6/7：thunderbird（RHSA-2016:2825）	critical
95381	RHEL 6/7：expat（RHSA-2016:2824）	critical
95292	RHEL 6：memcached（RHSA-2016:2820）	critical
95291	RHEL 7：memcached（RHSA-2016:2819）	critical
95047	RHEL 7：ipsilon（RHSA-2016:2809）	critical
95024	RHEL 6/7：JBoss Web Server（RHSA-2016:2807）	high
94937	RHEL 6：openssl（RHSA-2016:2802）	high
94920	RHEL 5/6/7：firefox（RHSA-2016:2780）	critical
94912	RHEL 5/6/7：nssおよびnss-util（RHSA-2016:2779）	high
94911	RHEL 6：カーネル（RHSA-2016:2766）	high
94910	RHEL 6：389-ds-base（RHSA-2016:2765）	critical
94897	RHEL 6：chromium-browser（RHSA-2016:2718）	critical
94896	RHEL 6/7：policycoreutils（RHSA-2016:2702）	high
94667	RHEL 7：カーネル（RHSA-2016:2695）	high
94666	RHEL 7：systemd（RHSA-2016:2694）	medium
94665	RHEL 5/6：flash-plugin（RHSA-2016:2676）	high
94651	RHEL 6：pacemaker（RHSA-2016:2675）	high
94626	RHEL 6/7：libgcrypt（RHSA-2016:2674）	medium
94625	RHEL 6：chromium-browser（RHSA-2016:2672）	high
94624	RHEL 5/6：java-1.6.0-ibm（RHSA-2016:2659）	critical
94623	RHEL 5/6/7：java-1.7.0-openjdk（RHSA-2016:2658）	critical
94606	RHEL 7：docker（RHSA-2016:2634）	high
94605	RHEL 7：bind（RHSA-2016:2615）	high
94604	RHEL 7：pacemaker（RHSA-2016:2614）	high
94603	RHEL 7：systemd（RHSA-2016:2610）	medium
94569	RHEL 7：postgresql（RHSA-2016:2606）	high
94568	RHEL 7: util-linux（RHSA-2016: 2605）	medium
94567	RHEL 7：resteasy-base（RHSA-2016:2604）	critical
94566	RHEL 7：libreswan（RHSA-2016:2603）	high
94565	RHEL 7：mod_nss（RHSA-2016:2602）	high
94564	RHEL 7：fontconfig（RHSA-2016:2601）	high
94563	RHEL 7：squid（RHSA-2016:2600）	high
94562	RHEL 7：tomcat（RHSA-2016:2599）	high
94561	RHEL 7：php（RHSA-2016:2598）	critical
94560	RHEL 7：firewalld（RHSA-2016:2597）	medium
94559	RHEL 7：pcs（RHSA-2016:2596）	high
94558	RHEL 7：mariadb（RHSA-2016:2595）	critical
94557	RHEL 7：389-ds-base（RHSA-2016:2594）	critical
94556	RHEL 7：sudo（RHSA-2016:2593）	medium
94555	RHEL 7：subscription-manager（RHSA-2016:2592）	low
94554	RHEL 7：krb5（RHSA-2016:2591）	medium
94553	RHEL 7：dhcp （RHSA-2016:2590）	medium
94552	RHEL 7：gimp（RHSA-2016:2589）	high

検出

Nessus 用の Red Hat Local Security Checks ファミリー

high

critical

critical

high

high

high

high

critical

critical

critical

critical

critical

high

high

critical

high

high

critical

critical

high

high

medium

high

high

medium

high

critical

critical

high

high

high

medium

high

medium

critical

high

high

high

high

high

critical

medium

high

critical

critical

medium

low

medium

medium

high