eclipse に脆弱性が見つかり、修正されました：

3.6.2 より前の Eclipse IDE の Help Contents Web アプリケーション（別名：Help Server）における複数のクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、(1) help/index.jsp または (2) help/advanced/content.jsp へのクエリ文字列を介して、任意の Web スクリプトまたは HTML を挿入する可能性があります（CVE-2010-4647）。

2009.0 用のパッケージは、拡張メンテナンスプログラム以降に提供されます。詳細については、以下のサイトにアクセスしてください：
http://store.mandriva.com/product_info.php?cPath=149 products_id=490

この問題を修正する更新済みパッケージが適用されています。

Eclipse ヘルプ webapp XSS 脆弱性の修正。Redhat Bugzilla #661901 および Eclipse Bugzilla #329582 を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2011:0568 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Eclipse ソフトウェア開発環境は、C/C++ および Java 開発用の一連のツールを提供します。

    クロスサイトスクリプティング（XSS）の欠陥が Eclipse のヘルプコンテンツ Web アプリケーションで見つかりました。攻撃者がこの欠陥を利用して、被害者を騙して特別に細工された Eclipse ヘルプの URL にアクセスさせることにより、被害者に対してクロスサイトスクリプティング攻撃を実行することが可能です。(CVE-2010-4647)

    以下の Eclipse パッケージが公式の Upstream Eclipse Helios SR1 リリースにあるバージョンにアップグレードされ、以前のバージョンにあった多数のバグ修正を行い、拡張機能を提供します。

    * eclipse を 3.6.1 に。(BZ#656329)
    * eclipse-cdt を 7.0.1 に。(BZ#656333)
    - eclipse-birt を 2.6.0 に。(BZ#656391)
    * eclipse-emf を 2.6.0 に。(BZ#656344)
    * eclipse-gef を 3.6.1 に。(BZ#656347)
    * eclipse-mylyn を 3.4.2 に。(BZ#656337)
    * eclipse-rse を 3.2 に。(BZ#656338)
    * eclipse-dtp を 1.8.1 に。(BZ#656397)
    * eclipse-changelog を 2.7.0 に。(BZ#669499)
    * eclipse-valgrind を 0.6.1 に。(BZ#669460)
    * eclipse-callgraph を 0.6.1 に。(BZ#669462)
    * eclipse-oprofile を 0.6.1 に。(BZ#670228)
    * eclipse-linuxprofilingframework を 0.6.1 に。(BZ#669461)

    さらに、上記の Eclipse パッケージの依存関係に対して以下の更新が行われました。

    * icu4j を 4.2.1 に。(BZ#656342)
    * sat4j を 2.2.0 に。(BZ#661842)
    * objectweb-asm を 3.2 に。(BZ#664019)
    * jetty-eclipse を 6.1.24 に。(BZ#661845)

    この更新には、以下を含む多数の Upstream バグ修正と拡張機能が含まれています。

    * The Eclipse IDE および Java Development Tools (JDT):

    - ワークスペースにおけるリソースのフィルターを実行できるプロジェクトおよびフォルダ。
    - 新しい仮想フォルダとリンクされたファイルのサポート。
    - UNIX ファイルアクセス許可のフルセットはサポートされています。
    - 実行時間が長いウィザードタスクを取り消すための停止ボタンの追加。
    - Java エディターは、問題表示用ホバーを介して複数のクイック修正を表示します。
    - 実行する JUnit バージョン 4 テストに対する新しいサポート。
    - 200 以上の Upstream バグ修正。

    * The Eclipse C/C++ Development Tooling (CDT):

    - 静的コード分析に、新しい Codan フレームワークが追加されました。
    - 保存されたリファクタリング履歴などのリファクタリングの改善。
    - これでコンパイルおよびビルドエラーは、ビルドコンソールでハイライトされます。
    - 新しい DSF デバッガフレームワークに切り替えます。
    - 新しいテンプレート表示のサポート。
    - 600 以上の Upstream バグ修正。

    この更新では、次のバグも修正しています。

    * Help Contents (ヘルプコンテンツ) ウインドウ内の GNU Tools に対する誤った URI が修正されました。(BZ#622713)

    * Eclipse プロジェクトが Eclipse ワークスペースにない場合、バイナリのプロファイリングが機能しませんでした。この更新により、外部プロジェクトのプロファイリングに対する自動テストが追加され、この問題が修正されます。（BZ#622867）

    * Eclipse での C/C++ アプリケーションの実行は正常に終了しましたが、Error Log ウインドウでアプリケーション自体とは無関係な I/O 例外が戻されました。この更新により、例外が返されることがなくなりました。
    (BZ#668890)

    * eclipse-mylyn パッケージに 20100916-0100-e3x 修飾子が表示されました。修飾子が v20100902-0100-e3x に変更され、eclipse-mylyn の Upstream バージョンと一致しています。(BZ#669819)

    * パッケージングのバグのために、eclipse-mylyn パッケージのインストールが失敗し、Resource temporarily unavailable (リソースが一時的に使用できません) というエラーメッセージが表示されました。この更新によりこのバグが修正され、インストールは期待通りに機能するようになっています。(BZ#673174)

    * ローカルファイルシステムとの不適切な相互作用のために、eclipse-cdt パッケージの構築が失敗する可能性があります。ローカルファイルシステムとの相互作用は阻止され、ビルドが失敗することはありません。(BZ#678364)

    * eclipse-cdt パッケージにより提供される libhover プラグインが、バイナリデータを使用して、ホバートピックを検索していました。データロケーションが URL として外部に指定されたため、インターネットアクセスがないシステム上で例外が発生する可能性があります。この更新により、プラグインが変更されたため、ローカルのロケーションから必要なデータを取り出します。（BZ#679543）

    eclipse のユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題を修正し、これらの拡張機能を追加する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Eclipse ソフトウェア開発環境は、C/C++ および Java 開発用の一連のツールを提供します。

クロスサイトスクリプティング（XSS）の欠陥が Eclipse のヘルプコンテンツ Web アプリケーションで見つかりました。攻撃者がこの欠陥を利用して、被害者を騙して特別に細工された Eclipse ヘルプの URL にアクセスさせることにより、被害者に対してクロスサイトスクリプティング攻撃を実行することが可能です。（CVE-2010-4647）

以下の Eclipse パッケージが正式な Upstream Eclipse Helios SR1 リリースにあるバージョンにアップグレードされ、以前のバージョンにあった多数のバグ修正を行い、拡張機能を提供します。

- eclipse を 3.6.1 に。

- eclipse-cdt を 7.0.1 に。

- eclipse-birt を 2.6.0 に。

- eclipse-emf を 2.6.0 に。

- eclipse-gef を 3.6.1 に。

- eclipse-mylyn を 3.4.2 に。

- eclipse-rse を 3.2 に。

- eclipse-dtp を 1.8.1 に。

- eclipse-changelog を 2.7.0 に。

- eclipse-valgrind を 0.6.1 に。

- eclipse-callgraph を 0.6.1 に。

- eclipse-oprofile を 0.6.1 に。

- eclipse-linuxprofilingframework を 0.6.1 に。

さらに、上記の Eclipse パッケージの依存関係に対して以下の更新が行われました：

- icu4j to 4.2.1。

- sat4j to 2.2.0。

- objectweb-asm を 3.2 に。

- jetty-eclipse を 6.1.24 に。

この更新には、以下を含む多数の Upstream バグ修正と拡張機能が含まれています：

- Eclipse IDE および Java 開発ツール（JDT）：

- ワークスペースにおけるリソースのフィルターを実行できるプロジェクトおよびフォルダ。

- 新しい仮想フォルダとリンクされたファイルのサポート。

- UNIX ファイル権限のフルセットはサポートされています。

- 実行時間が長いウィザードタスクを取り消すための停止ボタンの追加。

- Java エディターは、問題表示用ホバーを介して複数のクイック修正を表示します。

- 実行する JUnit バージョン 4 テストに対する新しいサポート。

- 200 以上の Upstream バグ修正。

- Eclipse C/C++ 開発ツール（CDT）：

- 静的コード分析に、新しい Codan フレームワークが追加されました。

- 保存されたリファクタリング履歴などのリファクタリングの改善。

- これでコンパイルおよびビルドエラーは、ビルドコンソールでハイライトされます。

- 新しい DSF デバッガフレームワークに切り替えます。

- 新しいテンプレート表示のサポート。

- 600 以上の Upstream バグ修正。

この更新は以下のバグも修正します：

- 「ヘルプコンテンツ」ウィンドウの中の GNU ツールに対する不適切な URI が修正されました。

- Eclipse プロジェクトが Eclipse ワークスペースにない場合、バイナリのプロファイリングが機能しませんでした。この更新により、外部プロジェクトのプロファイリングに対する自動テストが追加され、この問題が修正されます。

- Eclipse での C/C++ アプリケーションの実行は正常に終了されましたが、「エラーログ」ウィンドウでアプリケーション自体とは無関係な I/O 例外が返されました。この更新により、例外が返されることがなくなりました。

- eclipse-mylyn パッケージに「20100916-0100-e3x」修飾子が表示されました。修飾子が「v20100902-0100-e3x」に変更され、eclipse-mylyn の Upstream バージョンと一致しています。

- パッケージングのバグにより、eclipse-mylyn パッケージのインストールが失敗し、「Resource temporarily unavailable（リソースが一時的に使用できません）」のエラーメッセージが返されました。この更新によりこのバグが修正され、インストールは期待通りに機能するようになっています。

- ローカルファイルシステムとのインタラクションが不適切なために、eclipse-cdt パッケージのビルドが失敗する可能性があります。
 ローカルファイルシステムとの相互作用は阻止され、ビルドが失敗することはありません。

- eclipse-cdt パッケージにより提供される libhover プラグインが、バイナリデータを使用して、ホバートピックを検索していました。
 データロケーションが URL として外部に指定されたため、インターネットアクセスがないシステム上で例外が発生する可能性があります。この更新により、プラグインが変更されたため、ローカルのロケーションから必要なデータを取り出します。

eclipse のユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題を修正し、これらの拡張機能を追加する必要があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.6.2 より前の Eclipse IDE の Help Contents Web アプリケーション（別名：Help Server）における複数のクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、(1) help/index.jsp または (2) help/advanced/content.jsp へのクエリ文字列を介して、任意の Web スクリプトまたは HTML を挿入する可能性があります。(CVE-2010-4647)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Oracle Linux 6 ホストに、ELSA-2011-0568 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 3.6.2 より前の Eclipse IDE の Help Contents Web アプリケーション（別名：Help Server）における複数のクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、(1) help/index.jsp または (2) help/advanced/content.jsp へのクエリ文字列を介して、任意の Web スクリプトまたは HTML を挿入する可能性があります。(CVE-2010-4647)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

junit ランナーの問題を修正。Eclipse ヘルプの webapp XSS 脆弱性の修正。
Redhat Bugzilla #661901 および Eclipse Bugzilla #329582 を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
52041	Mandriva Linux セキュリティアドバイザリ：eclipse（MDVSA-2011: 032）	Nessus	Mandriva Local Security Checks	2011/2/21	2021/1/6	medium
51376	Fedora 14 : eclipse-3.6.1-6.1.fc14 (2010-19006)	Nessus	Fedora Local Security Checks	2010/12/26	2021/1/11	medium
54595	RHEL 6: eclipse (RHSA-2011:0568)	Nessus	Red Hat Local Security Checks	2011/5/20	2025/3/20	medium
61040	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の eclipse	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
217400	Linux Distros のパッチ未適用の脆弱性: CVE-2010-4647	Nessus	Misc.	2025/3/3	2025/3/3	medium
181063	Oracle Linux 6 : eclipse (ELSA-2011-0568)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	medium
51375	Fedora 13 : eclipse-3.5.2-4.fc13 (2010-18990)	Nessus	Fedora Local Security Checks	2010/12/26	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium