Red Hat セキュリティアドバイザリ 2013:0957 から：

さまざまなセキュリティの課題を修正する更新 java-1.7.0-openjdk パッケージが、現時点で Red Hat Enterprise Linux 6 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

これらのパッケージは、OpenJDK 7 Java Runtime Environment および OpenJDK 7 ソフトウェア開発キットを提供します。

ImagingLib、ならびに 2D コンポーネントの画像属性、チャネル、レイアウト、ラスター処理で複数の欠陥が発見されました。
信頼されない Java アプリケーションまたはアプレットが、これらの欠陥を悪用して、Java 仮想マシンのメモリ破損を発生させる可能性があります。（CVE-2013-2470、CVE-2013-2471、CVE-2013-2472、CVE-2013-2473、CVE-2013-2463、CVE-2013-2465、CVE-2013-2469）

AWT が特定の入力を処理する方法で、整数オーバーフローの欠陥が見つかりました。攻撃者が、これらの欠陥を利用し、信頼されない Java のアプレットまたはアプリケーションを実行しているユーザーの権限で任意のコードを実行することが可能でした。(CVE-2013-2459)

OpenJDK でのサウンド、JDBC、ライブラリ、JMX、およびサービサビリティのコンポーネントで、複数の不適切な許可チェックの課題が発見されました。
信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。（CVE-2013-2448、 CVE-2013-2454、CVE-2013-2458、CVE-2013-2457、 CVE-2013-2453、CVE-2013-2460）

シリアル化、ネットワーキング、ライブラリ、および CORBA のコンポーネントにある複数の欠陥を、信頼できない Java アプリケーションまたはアプレットが悪用し、機密情報である可能性が高いデータへアクセスできます。（CVE-2013-2456、 CVE-2013-2447、CVE-2013-2455、CVE-2013-2452、 CVE-2013-2443、CVE-2013-2446）

ホットスポットのコンポーネントが out-of-memory エラーを適切に処理しなかったことが判明しました。信頼されない Java アプリケーションまたはアプレットが、これらの欠陥を利用して、Java 仮想マシンを終了することができました。
(CVE-2013-2445)

AWT コンポーネントが特定のリソースを適切に管理せず、シリアル化のコンポーネントの ObjectStreamClass が循環参照を適切に処理しなかったことが、発見されました。信頼されない Java アプリケーションまたはアプレットが、これらの欠陥を悪用して、サービス拒否を引き起こす可能性があります。（CVE-2013-2444、 CVE-2013-2450）

ライブラリコンポーネントに、XML のセキュリティとクラスローダーに関連する特定のエラーがあることが判明しました。リモートの攻撃者が、これらの欠陥を悪用し、意図していたセキュリティメカニズムをバイパスしたり、機密情報である可能性が高いデータを漏洩したりして、サービス拒否を引き起こす可能性があります。（CVE-2013-2407、 CVE-2013-2461）

SSL 接続の確立が失敗した時に、JConsole がユーザーに適切な通知を行わないことが判明しました。攻撃者がこの欠陥を悪用して、機密情報である可能性が高いデータにアクセスする可能性があります。
(CVE-2013-2412)

GnomeFileTypeDetector がファイルアクセス時に読み込みの許可をチェックしなかったことが発見されました。信頼できない Java アプリケーションまたはアプレットが、この欠陥を利用して、機密情報である可能性の高いデータを漏洩することができました。(CVE-2013-2449)

Javadoc が生成した資料が、フレームインジェクション攻撃に対して脆弱性があることが発見されました。このような資料がネットワークを介してアクセス可能である場合、リモートの攻撃者がユーザーをだまし、ユーザーに特別に細工された URL にアクセスさせることができると、任意の Web コンテンツをその資料の横に表示することが可能でした。脆弱性のある文書をホストするサイトのログインフォームを偽装したフレームコンテンツを提供することにより、フィッシング攻撃を実行するために、これを使用することが可能でした。(CVE-2013-1571)

2D コンポーネントが、安全でない許可で共有メモリセグメントを作成したことが発見されました。ローカルの攻撃者が、この欠陥を利用して、共有メモリセグメントの読み込みまたは書き込みを行うことが可能でした。(CVE-2013-1500)

Red Hat は CVE-2013-1500 をレポートしてくれたTim Brown、CVE-2013-1571 をレポートしてくれた US-CERT に感謝の意を表します。US-CERT は、Oracle を CVE-2013-1571 のオリジナルレポーターとして認めています。

注：icedtea-web パッケージが提供する Web ブラウザプラグインをインストールしている場合、ユーザーが悪意ある Web サイトにアクセスすると、 Java アプレットにより引き起こされる問題がユーザインタラクションなしに悪用される可能性があります。

icedtea-web を機能させ続けるために、この更新のインストール後に、icedtea-web のユーザーは RHBA-2013:0959 をインストールしなければなりません。

また、このエラータは、OpenJDK パッケージを IcedTea7 2.3.10 にアップグレードします。
詳細については、「参照」にリンクがある NEWS ファイルを参照してください。

IBM Java 1.5.0 は、バグとセキュリティ問題を修正する SR16-FP3 に更新されています。

http://www.ibm.com/developerworks/java/jdk/alerts/ も参照してください

次のバグも修正されています：

- Europe/Busingen を tzmappings に追加。（bnc#817062）

- jre/bin and bin/ 内のファイルを実行可能ファイルとしてマーク（bnc#823034）

java-1_7_0-openjdk が icedtea-2.4.1 へ更新されました（bnc#828665）

- セキュリティ修正

- S6741606、CVE-2013-2407：Apache Santuario の統合

- S7158805、CVE-2013-2445：ネスト化されたサブルーチン呼び出しの書き換えを改善

- S7170730、CVE-2013-2451：Windows ネットワークスタックサポートの強化。

- S8000638、CVE-2013-2450：逆シリアル化の改善

- S8000642、CVE-2013-2446：転送用オブジェクト処理の改善

- S8001032：オブジェクトアクセスを制限します

- S8001033、CVE-2013-2452：仮想マシン識別子におけるネットワークアドレス処理のリファクタリング

- S8001034、CVE-2013-1500：メモリ管理の改善

- S8001038、CVE-2013-2444：リソース処理の強化

- S8001043：定義制限を明確にします

- S8001308：アプレットのウィンドウの表示を更新します

- S8001309：注釈インターフェイスの処理を改善します

- S8001318、CVE-2013-2447：Socket.getLocalAddress が InetAddress.getLocalHost と一致しません

- S8001330、CVE-2013-2443：チェック順序の改善（ゼロ以外のビルドのみ）

- S8003703、CVE-2013-2412：RMI 接続ダイアログボックスの更新

- S8004288、CVE-2013-2449：（fs）Files.probeContentType の問題

- S8004584：アプレットのコンテキスト化を強化します

- S8005007：グリフ処理を改善します

- S8006328、CVE-2013-2448：サウンドクラスの堅牢性を向上

- S8006611：スクリプティングを改善します

- S8007467：JMX 内部 API のロバスト性を改善します

- S8007471：MBean 通知を改善します

- S8007812、CVE-2013-2455：（反映）一部のクラスに対する Class.getEnclosingMethod の問題

- S8007925：cmsStageAllocLabV2ToV4curves を改善します

- S8007926：cmsPipelineDup を改善します

- S8007927：cmsAllocProfileSequenceDescription を改善します

- S8007929：CurvesAlloc を改善します

- S8008120、CVE-2013-2457：JMX クラスチェックの改善

- S8008124、CVE-2013-2453：コンプライアンステストの改善

- S8008128：JMX に対する API の一貫性を改善します

- S8008132、CVE-2013-2456：シリアル化サポートの改善

- S8008585：JMX データ処理を改善します

- S8008593：URLClassLoader リソース管理を改善します

- S8008603：JMX プロバイダーのプロビジョニングを改善します

- S8008607：JMX の入力チェックを改善します

- S8008611：JMX の注釈の処理を改善します

- S8008615：JMX 内部 API のロバスト性を改善します

- S8008623：MBeanServers の処理を改善します

- S8008744、CVE-2013-2407：JDK-6741606 の修正の修正部分

- S8008982：下層インターフェイスの変更のために JMX を調整します

- S8009004：RMI 接続の実装を改善します

- S8009008：management-api の管理を改善します

- S8009013：T2K glyphs の処理を改善します

- S8009034：JMX の通知結果を改善します

- S8009038：JMX 通知サポートを改善します

- S8009057、CVE-2013-2448：MIDI イベント処理の改善

- S8009067：KeyStore へ保存するキーを改善します

- S8009071、CVE-2013-2459：形状処理の改善

- S8009235：TSA データの処理を改善します

- S8009424、CVE-2013-2458：JSR-292 実装変更に Nashorn を適合

- S8009554、CVE-2013-2454：SerialJavaObject.getFields の改善

- S8009654：cmsnamed の安定性を改善します

- S8010209、CVE-2013-2460：ファクトリーのプロビジョンを改善

- S8011243、CVE-2013-2470：ImagingLib の改善

- S8011248、CVE-2013-2471：コンポーネントラスターの改善

- S8011253、CVE-2013-2472：ショートコンポーネントラスターの改善

- S8011257、CVE-2013-2473：バイトコンポーネントラスターの改善

- S8012375、CVE-2013-1571：Javadoc フレーミングの改善

- S8012421：PairPositioning の位置を改善します

- S8012438、CVE-2013-2463：画像検証の改善

- S8012597、CVE-2013-2465：画像チャネル検証の改善

- S8012601、CVE-2013-2469：画像レイアウト検証の改善

- S8014281、CVE-2013-2461：XML 署名チェックの改善

- S8015997：Javadoc フレーミングでの追加の改善

- OpenJDK

- long へのリストについては、ニュースファイルを参照してください。

- java-1.7.0-openjdk-zero-arch.patch：zero arch の検出を修正します

- ビルドサイクルを妨げるビルド中に rhino の依存関係を無視します

- icedtea-2.4.0 へ更新します（oracle jdk7u40 に基づきます）

- OpenJDK（完全なリストについてはニュースを参照してください）

- PR1209、S7170638：JNI Set および SetStatic フィールドの DTRACE_PROBE[N] を使用します

- PR1206、S7201205：OpenJDK の制限がない crypto によるビルドへ Makefile 構成オプションを追加します

- バックポート

- PR1197、S8003120、RH868136：
 ResourceManager.getApplicationResources() は InputStreams を閉じません

- S8014618、RH962568：DHKeyAgreement の TlsPremasterSecret における先行ゼロを取り除く必要があります

- バグ修正

- PR1212：Resources.getText() がすでにコードで利用できないため、IcedTea7 はビルドに失敗します

- NSS（コメントアウト）を他のプラットフォームへ追加します。

- 複数の PKCS11 ライブラリ初期化を重要でないエラーとします。

- ローカルの zlib パッチから upstream バージョンへ完全に切り替えます

- buildtree.make に defs.makeso が含まれ、ZERO_BUILD が認識され、JVM_VARIANT_ZERO が設定されます。

- NSS を含む PKCS11 プロバイダーを使用するサポートを提供します

- ゼロの上流の一部として、一見して削除されたファイルを削除します

- 7060849 を戻します

- 無制限のポリシーの使用を確実にするために、UNLIMITED_CRYPTO=true を設定します

- PR473：nss.cfg 内の ignoreMultipleInitialisation へ handleStartupErrors を設定します

- PR716：IcedTea7 は、IcedTea6 とブートストラップしなければなりません

- OpenJDK 6 でビルドする際に、競合をさけるため Java.security.cert.* のインポートを展開します。

- STRIP_POLICY=no_strip を設定する際に、実行されない Makefile ブロック上のインデントを修正します

- JEP 167 の一部として導入された無効な XSL スタイルシートおよび DTD を修正します。

- buildtree.make に defs.makeso が含まれ、ZERO_BUILD が認識され、JVM_VARIANT_ZERO が設定されます。

- libffi cflag および libs が使用されることを確認します。

- PR1378：AArch64 サポートをゼロに追加します

- Pr1170：無制限の crypto ポリシーの配置を確実にします。

- RH513605、PR1280：OpenJDK の更新/インストールでは、共有されたクラスデータのアーカイブを再作成しなければなりません

- PR1358：XRender を必須とします

- PR1360：/usr/lib64 JVM およびジェネリック Jpackage 代替えを確認します

- PR1435、D657854：OpenJDK 7 は、正しくない TrueType フォントメトリクスを返します

- PR728：GTKLookAndFeel は、gtk-alternative-button-order を遵守しません

- JamVM

- JSR 335：（lambda 式）初期化ハック

- JEP 171：sun.misc.Unsafe 内のフェンスメソッドを実装します

- invokespecial opcode の invokesuper チェックを修正します

- 間接的インタープリター invokespecial super-class チェックを修正します

- ネイティブメソッドを GC する場合は、コードの解放を試みません

- 準備されていない Miranda メソッドのコードデータを解放しません

- 匿名クラスの保護ドメインを設定します

- JVM_IsVMGeneratedMethodIx スタブ

- sun.misc.Perf ネイティブのダミー実装

- すでに必要としないゼロの VM を分離します

- java-1.7.0-openjdk-aarch64.patch をドロップします（upstream：PR1378）

- bnc#781690c#11 の修正 - posttrans の JAVA_HOME を設定し、証明書はこの JVM により作成されます

- postrans 状態を修正します（欠落している prefiX を追加します）

- リラックスビルドが必要です。そして、全ての java-devel >= 1.7.0 が一致します

ID	名前	製品	ファミリー	公開日	更新日	深刻度
68836	Oracle Linux 6：java-1.7.0-openjdk（ELSA-2013-0957）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	low
69093	SuSE 10 セキュリティ更新：java-1_5_0-ibm（ZYPP パッチ番号 8653）	Nessus	SuSE Local Security Checks	2013/7/28	2022/3/29	critical
75101	openSUSE Security 更新：java-1_7_0-openjdk（openSUSE-SU-2013:1288-1）	Nessus	SuSE Local Security Checks	2014/6/13	2022/3/29	critical

検出

プラグインの検索

low

critical

critical