Peter Valchev 氏は、XML 解析用 C ライブラリの expat に、特定の UTF-8 シーケンスを解析する際のエラーを発見しました。これが悪用されると、このライブラリを使用するアプリケーションがクラッシュする可能性があります。

Java 用 XML パーサーを検証する libxerces2-java は、無効な形式の XML ファイルを適切に処理していないことが判明しました。この脆弱性により、攻撃者は、無効な形式の XML ファイルを解析する際に、サービス拒否を引き起こすことができる場合があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Xerces2 Java の XMLScanner.java は、Update 15 より前の JDK と JRE 6、 Update 20 より前の JDK と JRE 5.0 の Sun Java Runtime Environment（JRE）、およびその他の製品で使用されています。 Codenomicon XML ファジングフレームワークで実証されている、無効な形式の XML 入力を介したサービス（無限ループとアプリケーションのハングアップ）。 （CVE-2009-2625）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Oracle Fusion MiddlewareのOracle WebLogicサーバーコンポーネントの脆弱性（サブコンポーネント：Webコンテナ）。サポートされているバージョンで影響を受けるのは、9.2.4、10.0.2、10.3.5、10.3.6および12.1.1です。容易に悪用できる脆弱性は、 HTTP で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、権限なくOracle WebLogic Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります。

リモートホストにインストールされている Sun Java Runtime Environment（JRE）は、
6 Update 15 / 5.0 Update 20 / 1.4.2_22 / 1.3.1_26 より前のバージョンです。これらのバージョンは、以下のセキュリティ問題の影響を受ける可能性があります。

  - JRE オーディオシステムの脆弱性により、システムプロパティにアクセスできることがあります。（263408）

  - JRE SOCKS プロキシ実装に、権限昇格脆弱性が存在することがあります。（263409）

  - JPEG 画像の解析時の整数オーバーフロー脆弱性により、信頼されていない Java Web Start アプリケーションによって権限を昇格できることがあります。（263428）

  - XML 電子署名実装での HMAC ベースの XML 電子署名の検証に関する脆弱性により、認証をバイパスできることがあります。（263429）

  - 「unpack200」JAR アンパックユーティリティを使ったアプレットおよび Java Web Start アプリケーションのアンパックでの整数オーバーフロー脆弱性により、信頼されていないアプレットで権限を昇格できることがあります。（263488）

  - XML データの解析の問題により、リモートクライアント上でサービス拒否状態を作成できることがあります。（263489）

  - 最新バージョンでない「JNLPAppletLauncher」が、信頼されていない Java アプレットによって、任意のファイルを書き込むように目的変更されることがあります。（263490）

  - Java Web Start ActiveX コントロールで使用される Microsoft Visual Studio のさまざまなリリースにあるアクティブテンプレートライブラリの脆弱性を利用して、任意のコードを実行できます。（264648）

複数のセキュリティ問題と複数のバグが修正される拡張機能が追加された更新済みの JBoss Enterprise Application Platform（JBEAP 4.2）パッケージが、JBEAP 4.2.0.CP08 として Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 4 の JBEAP のリリースは、 JBEAP 4.2.0.CP07 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されているバグ修正と拡張機能が含まれています。また、間もなく次の URL からアクセスできるようになります。
http://www.redhat.com/docs/en-US/JBoss_Enterprise_Application_Platform/

このリリースでは、次のセキュリティ問題も修正されます：

xml-security に、HMAC ベースの XML 署名の切り捨て形式の推奨最短長の確認の欠如が見つかりました。攻撃者が、この欠陥を利用して、XML 署名を偽造する特別に細工された XML ファイルを作成することが可能です。これにより、攻撃者が XML 署名仕様に基づく認証をバイパスすることが可能です。
(CVE-2009-0217)

Swatej Kumar 氏は、JBoss Application Server Web Console に、クロスサイトスクリプティング（XSS）の欠陥を発見しました。攻撃者はこれらの欠陥を利用して認証されていないユーザーへ誤解を招く情報を表示するができます。または、認証されていないユーザーのブラウザセッションのコンテキストで任意のスクリプティングコードを実行させることができます。(CVE-2009-2405)

Apache Xerces2 Java Parser が DTD のシステム識別子を処理したやり方で欠陥が見つかりました。リモートの攻撃者は、Apache Xerces2 Java パーサーを使用するプリケーションによって解析されるとサービス拒否（過度な CPU の使用によるアプリケーションのハングアップ）につながる可能性のある、特別に細工された XML ファイルを送りつけることがあります。(CVE-2009-2625)

twiddle コマンドラインクライアントに情報漏洩の欠陥が見つかりました。
JMX パスワードは、「twiddle.log」に対してプレーンテキストで保存されていました。
(CVE-2009-3554)

JMX Console に、XSS の欠陥が見つかりました。攻撃者はこの欠陥を利用して認証されていないユーザーへ誤解を招く情報を表示するができます。または、認証されていないユーザーのブラウザセッションのコンテキストで任意のスクリプティングコードを実行させることができます。(CVE-2009-1380)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 4 上の JBEAP 4.2 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

JavaSE 6: 更新71パッチ（JDK 6u71に相当）。
Sun によるこのパッチの最終更新日：2014年1月14日

JavaSE 6: 更新75パッチ（JDK 6u75に相当）。
Sun によるこのパッチの最終更新日：2014年4月14日

リモートの VMware ESX / ESXi ホストにセキュリティ関連のパッチがありません。
したがって、次のコンポーネントで、リモートコードの実行の脆弱性などの複数の脆弱性による影響を受けます：

- Apache Geronimo
 - Apache Tomcat
 - Apache Xerces2
 - cURL/libcURL
 - ISC BIND
 - Libxml2
 - Linux カーネル
 - Linux カーネル 64 ビット
 - Linux カーネル Common Internet File System
 - Linux カーネル eCryptfs
 - NTP
 - Python
 - Java Runtime Environment（JRE）
 - Java SE 開発キット（JDK）
 - Java SE Abstract Window Toolkit（AWT）
 - Java SE Plugin
 - Java SE Provider
 - Java SE Swing
 - Java SE Web Start

a. Java JRE セキュリティ更新

JRE のバージョン 1.5.0_22 への更新は、以前の JRE リリースに存在する複数のセキュリティ問題に対処しています。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_18 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-1093、CVE-2009-1094、CVE-2009-1095、CVE-2009-1096、CVE-2009-1097、CVE-2009-1098、CVE-2009-1099、CVE-2009-1100、CVE-2009-1101、CVE-2009-1102、CVE-2009-1103、CVE-2009-1104、CVE-2009-1105、CVE-2009-1106、CVE-2009-1107。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_20 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-2625、CVE-2009-2670、CVE-2009-2671、CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2676、CVE-2009-2716、CVE-2009-2718、CVE-2009-2719、CVE-2009-2720、CVE-2009-2721、CVE-2009-2722、CVE-2009-2723、CVE-2009-2724。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_22 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-3728、CVE-2009-3729、CVE-2009-3864、CVE-2009-3865、CVE-2009-3866、CVE-2009-3867、CVE-2009-3868、CVE-2009-3869、CVE-2009-3871、CVE-2009-3872、CVE-2009-3873、CVE-2009-3874、CVE-2009-3875、CVE-2009-3876、CVE-2009-3877、CVE-2009-3879、CVE-2009-3880、CVE-2009-3881、CVE-2009-3882、CVE-2009-3883、CVE-2009-3884、CVE-2009-3886、CVE-2009-3885。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
44786	Debian DSA-1921-1 : expat - サービス拒否	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	medium
44848	Debian DSA-1984-1：libxerces2-java - サービス拒否	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	medium
217127	Linux Distros のパッチ未適用の脆弱性: CVE-2009-2625	Nessus	Misc.	2025/3/3	2025/3/3	medium
107913	Solaris 10（x86）： 124673-20	Nessus	Solaris Local Security Checks	2018/3/12	2022/1/26	medium
107968	Solaris 10（x86）： 128641-30	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	medium
40495	Sun Java JRE の複数の脆弱性（263408 / 263409 / 263428 など）	Nessus	Windows	2009/8/5	2022/4/11	high
63904	RHEL 4：JBoss EAP（RHSA-2009:1637）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	medium
107415	Solaris 10（sparc）: 125136-71	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
107416	Solaris 10（sparc）: 125136-75	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
89117	VMware ESX / ESXi の複数の脆弱性（VMSA-2009-0016）（remote check）	Nessus	Misc.	2016/3/3	2021/1/6	critical
45386	VMSA-2010-0002：VMware vCenter 更新リリースは、Java JRE における複数のセキュリティ問題に対処します。	Nessus	VMware ESX Local Security Checks	2010/3/31	2021/1/6	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

high

medium

critical

critical

critical

critical