eclipse に脆弱性が見つかり、修正されました：

3.6.2 より前の Eclipse IDE の Help Contents Web アプリケーション（別名：Help Server）における複数のクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、(1) help/index.jsp または (2) help/advanced/content.jsp へのクエリ文字列を介して、任意の Web スクリプトまたは HTML を挿入する可能性があります（CVE-2010-4647）。

2009.0 用のパッケージは、拡張メンテナンスプログラム以降に提供されます。詳細については、以下のサイトにアクセスしてください：
http://store.mandriva.com/product_info.php?cPath=149 products_id=490

この問題を修正する更新済みパッケージが適用されています。

junit ランナーの問題を修正。Eclipse ヘルプの webapp XSS 脆弱性の修正。
Redhat Bugzilla #661901 および Eclipse Bugzilla #329582 を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートの Oracle Linux 6 ホストに、ELSA-2011-0568 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 3.6.2 より前の Eclipse IDE の Help Contents Web アプリケーション（別名：Help Server）における複数のクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、(1) help/index.jsp または (2) help/advanced/content.jsp へのクエリ文字列を介して、任意の Web スクリプトまたは HTML を挿入する可能性があります。(CVE-2010-4647)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Eclipse ソフトウェア開発環境は、C/C++ および Java 開発用の一連のツールを提供します。

クロスサイトスクリプティング（XSS）の欠陥が Eclipse のヘルプコンテンツ Web アプリケーションで見つかりました。攻撃者がこの欠陥を利用して、被害者を騙して特別に細工された Eclipse ヘルプの URL にアクセスさせることにより、被害者に対してクロスサイトスクリプティング攻撃を実行することが可能です。（CVE-2010-4647）

以下の Eclipse パッケージが正式な Upstream Eclipse Helios SR1 リリースにあるバージョンにアップグレードされ、以前のバージョンにあった多数のバグ修正を行い、拡張機能を提供します。

- eclipse を 3.6.1 に。

- eclipse-cdt を 7.0.1 に。

- eclipse-birt を 2.6.0 に。

- eclipse-emf を 2.6.0 に。

- eclipse-gef を 3.6.1 に。

- eclipse-mylyn を 3.4.2 に。

- eclipse-rse を 3.2 に。

- eclipse-dtp を 1.8.1 に。

- eclipse-changelog を 2.7.0 に。

- eclipse-valgrind を 0.6.1 に。

- eclipse-callgraph を 0.6.1 に。

- eclipse-oprofile を 0.6.1 に。

- eclipse-linuxprofilingframework を 0.6.1 に。

さらに、上記の Eclipse パッケージの依存関係に対して以下の更新が行われました：

- icu4j to 4.2.1。

- sat4j to 2.2.0。

- objectweb-asm を 3.2 に。

- jetty-eclipse を 6.1.24 に。

この更新には、以下を含む多数の Upstream バグ修正と拡張機能が含まれています：

- Eclipse IDE および Java 開発ツール（JDT）：

- ワークスペースにおけるリソースのフィルターを実行できるプロジェクトおよびフォルダ。

- 新しい仮想フォルダとリンクされたファイルのサポート。

- UNIX ファイル権限のフルセットはサポートされています。

- 実行時間が長いウィザードタスクを取り消すための停止ボタンの追加。

- Java エディターは、問題表示用ホバーを介して複数のクイック修正を表示します。

- 実行する JUnit バージョン 4 テストに対する新しいサポート。

- 200 以上の Upstream バグ修正。

- Eclipse C/C++ 開発ツール（CDT）：

- 静的コード分析に、新しい Codan フレームワークが追加されました。

- 保存されたリファクタリング履歴などのリファクタリングの改善。

- これでコンパイルおよびビルドエラーは、ビルドコンソールでハイライトされます。

- 新しい DSF デバッガフレームワークに切り替えます。

- 新しいテンプレート表示のサポート。

- 600 以上の Upstream バグ修正。

この更新は以下のバグも修正します：

- 「ヘルプコンテンツ」ウィンドウの中の GNU ツールに対する不適切な URI が修正されました。

- Eclipse プロジェクトが Eclipse ワークスペースにない場合、バイナリのプロファイリングが機能しませんでした。この更新により、外部プロジェクトのプロファイリングに対する自動テストが追加され、この問題が修正されます。

- Eclipse での C/C++ アプリケーションの実行は正常に終了されましたが、「エラーログ」ウィンドウでアプリケーション自体とは無関係な I/O 例外が返されました。この更新により、例外が返されることがなくなりました。

- eclipse-mylyn パッケージに「20100916-0100-e3x」修飾子が表示されました。修飾子が「v20100902-0100-e3x」に変更され、eclipse-mylyn の Upstream バージョンと一致しています。

- パッケージングのバグにより、eclipse-mylyn パッケージのインストールが失敗し、「Resource temporarily unavailable（リソースが一時的に使用できません）」のエラーメッセージが返されました。この更新によりこのバグが修正され、インストールは期待通りに機能するようになっています。

- ローカルファイルシステムとのインタラクションが不適切なために、eclipse-cdt パッケージのビルドが失敗する可能性があります。
 ローカルファイルシステムとの相互作用は阻止され、ビルドが失敗することはありません。

- eclipse-cdt パッケージにより提供される libhover プラグインが、バイナリデータを使用して、ホバートピックを検索していました。
 データロケーションが URL として外部に指定されたため、インターネットアクセスがないシステム上で例外が発生する可能性があります。この更新により、プラグインが変更されたため、ローカルのロケーションから必要なデータを取り出します。

eclipse のユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題を修正し、これらの拡張機能を追加する必要があります。

1 つのセキュリティ問題といくつかのバグを修正し、様々な拡張機能を追加する更新済みの eclipse パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションのCVEリンクで確認できます。

Eclipse ソフトウェア開発環境は、C/C++ および Java 開発用の一連のツールを提供します。

クロスサイトスクリプティング（XSS）の欠陥が Eclipse のヘルプコンテンツ Web アプリケーションで見つかりました。攻撃者がこの欠陥を利用して、被害者を騙して特別に細工されたEclipseヘルプの URLにアクセスさせることにより、被害者に対してクロスサイトスクリプティング攻撃を実行することが可能です。（CVE-2010-4647）

以下の Eclipse パッケージが正式な Upstream Eclipse Helios SR1 リリースにあるバージョンにアップグレードされ、以前のバージョンにあった多数のバグ修正を行い、拡張機能を提供します。

* eclipseを3.6.1に。（BZ#656329）* eclipse-cdtを7.0.1に。（BZ#656333）* eclipse-birtを2.6.0に。（BZ#656391）* eclipse-emfを2.6.0に。（BZ#656344）
* eclipse-gefを3.6.1に。（BZ#656347）* eclipse-mylynを3.4.2に。
（BZ#656337）* eclipse-rseを3.2に。（BZ#656338）* eclipse-dtpを1.8.1に。
（BZ#656397）* eclipse-changelogを2.7.0に。（BZ#669499）* eclipse-valgrindが0.6.1に。（BZ#669460）* eclipse-callgraphを0.6.1に。
（BZ#669462）* eclipse-oprofileを0.6.1に。（BZ#670228）* eclipse-linuxprofilingframeworkを0.6.1に。（BZ#669461）

さらに、上記の Eclipse パッケージの依存関係に対して以下の更新が行われました：

* icu4jから4.2.1に。（BZ#656342）* sat4jから2.2.0に。（BZ#661842）* objectweb-asmを3.2に。（BZ#664019）* jetty-eclipseを6.1.24に。
（BZ#661845）

この更新には、以下を含む多数の Upstream バグ修正と拡張機能が含まれています：

* Eclipse IDE および Java Development Tools（JDT）：

  - プロジェクトとフォルダにより、ワークスペースのリソースが除外される可能性があります。 - 新しい仮想フォルダおよびリンクされたファイルのサポート。 - UNIXファイル権限の完全なセットがサポートされるようになりました。 - ウィザードの長期実行タスクをキャンセルするための停止ボタンの追加。-Javaエディターは、問題ホバーを介して複数のクイック修正を表示するようになりました。 -JUnitバージョン4テストの実行に対する新たなサポート。 -200件を超えるアップストリームのバグ修正。

* Eclipse C/C++ Development Tooling（CDT）：

  - 新しいCodanフレームワークが静的コード分析に追加されました。 - 保存されたリファクタリング履歴などのリファクタリングの改善。 - ビルドコンソールでコンパイルおよびビルドエラーがハイライトされるようになりました。 - 新しいDSFデバッガフレームワークに切り替えます。 - 新しいテンプレートビューのサポート。 - 600以上のアップストリームのバグ修正。

この更新により、以下のバグも修正されます：

* 「Help Contents（ヘルプコンテンツ）」ウインドウ内のGNU Toolsに対する誤ったURIが修正されました。（BZ#622713）

* Eclipse プロジェクトが Eclipse ワークスペースにない場合、バイナリのプロファイリングが機能しませんでした。この更新により、外部プロジェクトのプロファイリングに対する自動テストが追加され、この問題が修正されます。（BZ#622867）

* Eclipse での C/C++ アプリケーションの実行は正常に終了しましたが、Error Log ウインドウでアプリケーション自体とは無関係な I/O 例外が戻されました。この更新により、例外が返されることがなくなりました。（BZ#668890）

* eclipse-mylyn パッケージに「20100916-0100-e3x」修飾子が表示されました。
修飾子が「v20100902-0100-e3x」に変更され、eclipse-mylynのUpstreamバージョンと一致しています。（BZ#669819）

* パッケージングのバグのために、eclipse-mylyn パッケージのインストールが失敗し、「Resource temporarily unavailable（リソースが一時的に使用できません）」エラーメッセージが返りました。
この更新によりこのバグが修正され、インストールは期待通りに機能するようになっています。
（BZ#673174）

* ローカルファイルシステムとの不適切な相互作用のために、eclipse-cdt パッケージの構築が失敗する可能性があります。ローカルファイルシステムとの相互作用は阻止され、ビルドが失敗することはありません。
（BZ#678364）

* eclipse-cdt パッケージにより提供される libhover プラグインが、バイナリデータを使用して、ホバートピックを検索していました。データロケーションが URL として外部に指定されたため、インターネットアクセスがないシステム上で例外が発生する可能性があります。この更新により、プラグインが変更されたため、ローカルのロケーションから必要なデータを取り出します。（BZ#679543）

eclipse のユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題を修正し、これらの拡張機能を追加する必要があります。

Eclipse ヘルプ webapp XSS 脆弱性の修正。Redhat Bugzilla #661901 および Eclipse Bugzilla #329582 を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
52041	Mandriva Linux セキュリティアドバイザリ：eclipse（MDVSA-2011: 032）	Nessus	Mandriva Local Security Checks	2011/2/21	2021/1/6	medium
51375	Fedora 13 : eclipse-3.5.2-4.fc13 (2010-18990)	Nessus	Fedora Local Security Checks	2010/12/26	2021/1/11	medium
181063	Oracle Linux 6 : eclipse (ELSA-2011-0568)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	medium
61040	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の eclipse	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
54595	RHEL 6：eclipse（RHSA-2011: 0568）	Nessus	Red Hat Local Security Checks	2011/5/20	2021/1/14	medium
51376	Fedora 14 : eclipse-3.6.1-6.1.fc14 (2010-19006)	Nessus	Fedora Local Security Checks	2010/12/26	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium