Java-1.8.0-oracle用の更新プログラムが、Red Hat Enterprise Linux 6のOracle Javaで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Oracle Java SEバージョン8には、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットが含まれます。この更新プログラムで、Oracle Java SE 8がバージョン8 Update 191にアップグレードされます。セキュリティ修正プログラム：* OpenJDK：不適切なフィールドアクセスチェック（ホットスポット、8199226）（CVE-2018-3169）* OpenJDK：スクリプトエンジンへの無制限アクセス（スクリプティング、8202936）（CVE-2018-3183）* Oracle JDK：8u191で修正された詳細不明な脆弱性（JavaFX）（CVE-2018-3209）* OpenJDK：trustURLCodebase制限の不完全な実施（JNDI、8199177）（CVE-2018-3149）* OpenJDK：署名付きJarマニフェストの署名されていない属性の不適切な処理（セキュリティ、8194534）（CVE-2018-3136）* OpenJDK：HTTPリダイレクトによる秘密ヘッダーデータの漏えい（ネットワーク、8196902）（CVE-2018-3139）* OpenJDK：TLSセッション再開中にエンドポイント識別アルゴリズムがチェックされていません（JSSE、8202613）（CVE-2018-3180）* Oracle JDK：8u191と11.0.1で修正された詳細不明な脆弱性（Serviceability）（CVE-2018-3211） * OpenJDK：RIFF形式のリーダーでの無限ループ（Sound、8205361）（CVE-2018-3214）* libpng：pngrutil.c:png_check_chunk_length()での整数オーバーフローと結果のゼロ除算によりサービス拒否の可能性があります（CVE-2018-13785）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートホストは、GLSA-201908-10（Oracle JDK/JRE：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がOracleのJDKおよびJREソフトウェアスイートで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：詳細については、記載されているCVE識別番号を参照してください。回避策：現時点では、既知の回避策はありません。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、11は更新プログラム1、8は更新プログラム191、7は更新プログラム201、6は更新プログラム211より前です。したがって、次のコンポーネントに関連する複数の脆弱性の影響を受けます。

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Deployment (libpng) subcomponent could allow an unauthenticated, remote attacker with network access via HTTP to compromise Java SE, Java SE Embedded. (CVE-2018-13785)

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Hotspot subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded. (CVE-2018-3169)

  - An unspecified vulnerability in the Java SE component of Oracle Java SE in the JavaFX subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2018-3209)

  - An unspecified vulnerability in the Java SE, Java SE Embedded, JRockit component of Oracle Java SE in the JNDI subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded, JRockit.
    (CVE-2018-3149)  
  - An unspecified vulnerability in the Java SE, Java SE Embedded, JRockit component of Oracle Java SE in the JSSE subcomponent could allow an unauthenticated, remote attacker with network access via SSL/TLS to compromise Java SE, Java SE Embedded, JRockit.
    (CVE-2018-3180)

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Networking subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded.
    (CVE-2018-3139)

  - An unspecified vulnerability in the Java SE, Java SE Embedded, JRockit component of Oracle Java SE in the Scripting subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded, JRockit. (CVE-2018-3183)

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Security subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded. (CVE-2018-3136)

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Serviceability subcomponent could allow a low privileged attacker with logon to the infrastructure where Java SE, Java SE Embedded executes to compromise Java SE, Java SE Embedded. (CVE-2018-3211)

  - An unspecified vulnerability in the Java SE component of Oracle Java SE in the Sound subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2018-3157)

  - An unspecified vulnerability in the Java SE component of Oracle Java SE in the Utility subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2018-3150)

追加情報については、該当するCVEのCVRFの詳細を参照してください。

Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、11は更新プログラム1、8は更新プログラム191、7は更新プログラム201、6は更新プログラム211より前です。したがって、複数の脆弱性による影響を受けます：-Oracle Java SEのJava SE Embeddedコンポーネントでは、Deployment（libpng）サブコンポーネントに詳細不明な脆弱性があるため、HTTP経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2018-13785）-Oracle Java SEのJava SE Embeddedコンポーネントでは、Hotspotサブコンポーネントに詳細不明な脆弱性があるため、ネットワークにアクセスできる認証されていないリモートの攻撃者が複数のプロトコル経由でJava SEを侵害する可能性があります。（CVE-2018-3169）-Oracle Java SEのJava SEコンポーネントでは、JavaFXサブコンポーネントに詳細不明な脆弱性があるため、ネットワークにアクセスできる認証されていないリモートの攻撃者が複数のプロトコル経由でJava SEを侵害する可能性があります。（CVE-2018-3209）-Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントでは、JNDIサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。（CVE-2018-3149）-Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントでは、JSSEサブコンポーネントに詳細不明な脆弱性があるため、SSL/TLS経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。（CVE-2018-3180）-Oracle Java SEのJava SE、Java SE Embeddedコンポーネントでは、Networkingサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embeddedを侵害する可能性があります。（CVE-2018-3139）-Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントでは、Scriptingサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。（CVE-2018-3183）- Oracle Java SEのJava SE、Java SE Embeddedコンポーネントでは、Securityサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embeddedを侵害する可能性があります。（CVE-2018-3136）- Oracle Java SEのJava SE、Java SE Embeddedコンポーネントでは、Serviceabilityサブコンポーネントに詳細不明な脆弱性があるため、権限が低い攻撃者が、Java SE、Java SE Embeddedが実行されているインフラストラクチャにログオンし、Java SE、Java SE Embeddedを侵害する可能性があります。（CVE-2018-3211）- Oracle Java SEのJava SEコンポーネントでは、Soundサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2018-3157）- Oracle Java SEのJava SEコンポーネントでは、Utilityサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2018-3150）Nessusはこれらの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Java-1.8.0-oracle用の更新プログラムが、Red Hat Enterprise Linux 7のOracle Javaで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Oracle Java SEバージョン8には、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットが含まれます。この更新プログラムで、Oracle Java SE 8がバージョン8 Update 191にアップグレードされます。セキュリティ修正プログラム：* OpenJDK：不適切なフィールドアクセスチェック（ホットスポット、8199226）（CVE-2018-3169）* OpenJDK：スクリプトエンジンへの無制限アクセス（スクリプティング、8202936）（CVE-2018-3183）* Oracle JDK：8u191で修正された詳細不明な脆弱性（JavaFX）（CVE-2018-3209）* OpenJDK：trustURLCodebase制限の不完全な実施（JNDI、8199177）（CVE-2018-3149）* OpenJDK：署名付きJarマニフェストの署名されていない属性の不適切な処理（セキュリティ、8194534）（CVE-2018-3136）* OpenJDK：HTTPリダイレクトによる秘密ヘッダーデータの漏えい（ネットワーク、8196902）（CVE-2018-3139）* OpenJDK：TLSセッション再開中にエンドポイント識別アルゴリズムがチェックされていません（JSSE、8202613）（CVE-2018-3180）* Oracle JDK：8u191と11.0.1で修正された詳細不明な脆弱性（Serviceability）（CVE-2018-3211） * OpenJDK：RIFF形式のリーダーでの無限ループ（Sound、8205361）（CVE-2018-3214）* libpng：pngrutil.c:png_check_chunk_length()での整数オーバーフローと結果のゼロ除算によりサービス拒否の可能性があります（CVE-2018-13785）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
118372	RHEL 6：java-1.8.0-oracle（RHSA-2018:3003）	Nessus	Red Hat Local Security Checks	2018/10/25	2022/2/3	critical
127959	GLSA-201908-10：Oracle JDK/JRE：複数の脆弱性	Nessus	Gentoo Local Security Checks	2019/8/20	2024/5/2	critical
118228	Oracle Java SEの複数の脆弱性（2018年10月CPU）	Nessus	Windows	2018/10/19	2022/4/11	critical
118227	Oracle Java SEの複数の脆弱性（2018年10月のCPU）（UNIX）	Nessus	Misc.	2018/10/19	2024/6/20	critical
118371	RHEL 7：java-1.8.0-oracle（RHSA-2018:3002）	Nessus	Red Hat Local Security Checks	2018/10/25	2024/4/27	critical

検出

プラグインの検索

critical

critical

critical

critical

critical