バージョンjdk-11+24へのこのjava-11-openjdkの更新では、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2018-2940：サブコンポーネントLibrariesにおける詳細不明な脆弱性を修正します（bsc#1101645）。

  - CVE-2018-2952：サブコンポーネントConcurrencyにおける詳細不明な脆弱性を修正します（bsc#1101651）。

  - CVE-2018-2972：サブコンポーネントSecurityにおける詳細不明な脆弱性を修正します（bsc#1101655）。

  - CVE-2018-2973：サブコンポーネントJSSEにおける詳細不明な脆弱性を修正します（bsc#1101656）。

この更新プログラムは、SUSE: SLE-15: Update更新プロジェクトからインポートされました。

The version of Oracle JRockit installed on the remote Windows host is R28.3.18. したがって、複数の脆弱性の影響を受けます。
詳細については、アドバイザリを参照してください。

このOpenJDK 10.0.2の更新では、次のセキュリティ問題を修正します：

  - CVE-2018-2940：librariesサブコンポーネントに、容易に悪用できる脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEまたはJava SE Embeddedを侵害し、サーバーがアクセスできるデータに不正に読み取りアクセスできる可能性がありました。 [bsc#1101645]

  - CVE-2018-2952：concurrencyサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SE、Java SE Embedded、またはJRockitを侵害することが可能でした。この問題はサーバーで部分的なサービス拒否攻撃を仕掛けるために悪用された可能性があります。[bsc#1101651]

  - CVE-2018-2972：securityサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEを侵害し、機密データへの不正なアクセスまたはすべてのJavaSEアクセス可能データへの完全なアクセスを取得する可能性がありました。
    [bsc#1101655]

  - CVE-2018-2973：HSSEサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEまたはJava SE Embeddedを侵害し、機密データ、またはJavaSE、Java SE Embeddedのアクセス可能なすべてのデータを作成、作成、変更できる可能性がありました。[bsc#1101656]

  - 再インストールする前に、javaの既存の代替を適切に削除します。 [bsc#1096420]

  - idljは *-develパッケージに移動されました。 [bsc#1096420]

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

OpenJDKが型を適切に検証しない場合があることがわかりました。攻撃者はこれを悪用して、サンドボックスの制限をバイパスする可能性のあるJavaクラスを構築する可能性があります。(CVE-2018-2825、CVE-2018-2826) 

OpenJDKのPatternSyntaxExceptionクラスが、渡された引数を適切に検証していないことがわかりました。攻撃者がこれを悪用して、サービス拒否 (過剰なメモリ消費) を引き起こすクラスを構築する可能性があります。(CVE-2018-2952) 

Daniel Bleichenbacher氏によって、OpenJDKで対称ブロック暗号のGalois/Counter Mode (GCM) 操作モードに脆弱性が発見されました。
攻撃者がこれを悪用して、秘密情報を漏えいさせる可能性があります。
(CVE-2018-2972)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このOpenJDK 10.0.2の更新では、次のセキュリティ問題を修正します：

  - CVE-2018-2940：librariesサブコンポーネントに、容易に悪用できる脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEまたはJava SE Embeddedを侵害し、サーバーがアクセスできるデータに不正に読み取りアクセスできる可能性がありました。[bsc#1101645]

  - CVE-2018-2952：concurrencyサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SE、Java SE Embedded、またはJRockitを侵害することが可能でした。この問題はサーバーで部分的なサービス拒否攻撃を仕掛けるために悪用された可能性があります。[bsc#1101651]

  - CVE-2018-2972：securityサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEを侵害し、機密データへの不正なアクセスまたはすべてのJavaSEアクセス可能データへの完全なアクセスを取得する可能性がありました。
    [bsc#1101655]

  - CVE-2018-2973：HSSEサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEまたはJava SE Embeddedを侵害し、機密データ、またはJavaSE、Java SE Embeddedのアクセス可能なすべてのデータを作成、作成、変更できる可能性がありました。[bsc#1101656]

さらに次のバグが修正されました：

  - 再インストールする前に、javaの既存の代替を適切に削除します。[bsc#1096420]

  - idljは *-develパッケージに移動されました。[bsc#1096420]

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、10は更新プログラム2、8は更新プログラム181、7は更新プログラム191、6は更新プログラム201より前です。したがって、次のコンポーネントに関連する複数の脆弱性の影響を受けます。

  - Concurrency. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2952)

  - Deployment. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2964)

  - JSSE. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2973)

  - Java DB. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE. (CVE-2018-2938)

  - JavaFX. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE. (CVE-2018-2941)

  - Libraries. An easily exploitable vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE. (CVE-2018-2940)

  - Security. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2972)

  - Windows DLL. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2942)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

OpenJDK 10.0.2のこの更新プログラムでは、以下のセキュリティ問題が修正されています：

  - CVE-2018-2940：librariesサブコンポーネントに、容易に悪用できる脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEまたはJava SE Embeddedを侵害し、サーバーがアクセスできるデータに不正に読み取りアクセスできる可能性がありました。 [bsc#1101645]

  - CVE-2018-2952：Concurrencyサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SE、Java SE Embedded、またはJRockitを侵害することが可能でした。この問題はサーバーで部分的なサービス拒否攻撃を仕掛けるために悪用された可能性があります。[bsc#1101651]

  - CVE-2018-2972：securityサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEを侵害し、機密データへの不正なアクセスまたはすべてのJavaSEアクセス可能データへの完全なアクセスを取得する可能性がありました。
    （bsc#1101655）

  - CVE-2018-2973：HSSEサブコンポーネントに、悪用が困難な脆弱性が含まれていました。この脆弱性により、攻撃者はネットワーク上でJava SEまたはJava SE Embeddedを侵害し、機密データ、またはJavaSE、Java SE Embeddedのアクセス可能なすべてのデータを作成、作成、変更できる可能性がありました。[bsc#1101656]

さらに次のバグが修正されました：

  - 再インストールする前に、javaの既存の代替を適切に削除します。 [bsc#1096420]

  - idljは *-develパッケージに移動されました。 [bsc#1096420]

この更新プログラムは、SUSE: SLE-15: Update更新プロジェクトからインポートされました。

バージョンjdk-11+24へのこのjava-11-openjdkの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-2940：サブコンポーネントLibrariesにおける詳細不明な脆弱性を修正します（bsc#1101645）。

  - CVE-2018-2952：サブコンポーネントConcurrencyにおける詳細不明な脆弱性を修正します（bsc#1101651）。

  - CVE-2018-2972：サブコンポーネントConcurrencyにおける詳細不明な脆弱性を修正します（bsc#1101655）。

  - CVE-2018-2973：サブコンポーネントJSSEにおける詳細不明な脆弱性を修正します（bsc#1101656）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、10は更新プログラム2、8は更新プログラム181、7は更新プログラム191、6は更新プログラム201より前です。したがって、次のコンポーネントに関連する複数の脆弱性の影響を受けます。- 並行処理悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2952）- Deployment 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2964）- JSSE 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2973）- Java DB 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2938） - JavaFX 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2941）- Libraries 容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2940）- Security 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2972）- Windows DLL 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2942）Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111597	openSUSEセキュリティ更新プログラム：java-11-openjdk（openSUSE-2018-830）	Nessus	SuSE Local Security Checks	2018/8/9	2024/8/23	medium
111214	Oracle JRockit R28.3.18 Multiple Vulnerabilities (July 2018 CPU)	Nessus	Windows	2018/7/20	2019/11/4	critical
120065	SUSE SLED15 / SLES15セキュリティ更新プログラム：java-10-openjdk (SUSE-SU-2018:2083-1)	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/20	medium
112033	Ubuntu 18.04 LTS : OpenJDK 10の脆弱性 (USN-3747-1)	Nessus	Ubuntu Local Security Checks	2018/8/21	2024/8/27	high
123247	openSUSEセキュリティ更新プログラム：java-10-openjdk (openSUSE-2019-570)	Nessus	SuSE Local Security Checks	2019/3/27	2021/1/19	medium
111163	Oracle Java SEの複数の脆弱性（2018年7月CPU）	Nessus	Windows	2018/7/20	2025/1/27	critical
111572	openSUSEセキュリティ更新プログラム：java-10-openjdk (openSUSE-2018-810)	Nessus	SuSE Local Security Checks	2018/8/7	2024/8/23	medium
123250	openSUSEセキュリティ更新プログラム：java-11-openjdk (openSUSE-2019-575)	Nessus	SuSE Local Security Checks	2019/3/27	2021/1/19	medium
111162	Oracle Java SEの複数の脆弱性（2018年7月CPU）（Unix）	Nessus	Misc.	2018/7/20	2024/6/20	critical

検出

プラグインの検索

medium

critical

medium

high

medium

critical

medium

medium

critical