IBM Java が 7.1-3.10 に更新され、いくつかのセキュリティの問題が修正されました。

次の脆弱性が修正されました：

- CVE-2015-1931：IBM Java セキュリティコンポーネントが平文のデータをメモリダンプに保存し、このためにローカルの攻撃者が情報を入手し、システムに対するさらなる攻撃を助ける可能性があります。

- CVE-2015-2590：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2601：JCE コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2613：JCE コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java SE、Java SE Embeddeda がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2619：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2621：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2625：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2632：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2637：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2638：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2664：展開コンポーネントの悪用に困難な脆弱性はオペレーティングシステムにログオンする必要があります。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2808：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4000：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java Embedded がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4729：展開コンポーネントの悪用に非常に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。
 この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java SE がアクセスできるデータへの更新、挿入、削除、ならびに Java SE がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4731：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4732：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4733：RMI コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能でした。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4748：セキュリティコンポーネントの悪用に非常に困難な脆弱性は、 OCSP で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4749：JNDI コンポーネントの悪用に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、権限なしで部分的なサービス拒否（部分的な DOS）を引き起こすことができます。

- CVE-2015-4760：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

java-1_7_0-ibm が更新され、21 のセキュリティの問題が修正されました。

これらのセキュリティの問題が修正されました：

- CVE-2015-4729：Oracle Java SE 7u80 および 8u45 の詳細不明な脆弱性により、リモートの攻撃者はディプロイメントに関連する不明なベクトルを介して機密性と整合性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-4748：Oracle Java SE 6u95、7u80、8u45、JRockit R28.3.6、および Java SE Embedded 7u75 、Embedded 8u33 の詳細不明な脆弱性により、リモートの攻撃者はセキュリティに関連する不明なベクトルを通じて機密性、整合性および可用性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-2664：Oracle Java SE 6u95、7u80、および 8u45 の詳細不明な脆弱性により、ローカルユーザーはデプロイメントに関連する不明なベクトルを通じて機密性、整合性および可用性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-0192：IBM Java SR1 より前の 8、SR2 FP11 より前の 7 R1、 SR9 より前の7、SR8 FP4 より前の 6 R1、SR16 FP4 より前の 6 と SR16 FP10 より前の 5.0 で、詳細不明な脆弱性により、リモートの攻撃者は Java Virtual Machine に関連する不明なベクトルを介して権限を得る可能性があります（bsc#938895）。

- CVE-2015-2613：Oracle Java SE 7u80 と 8u45、および Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は JCE に関連するベクトルを介して機密性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-4731：Oracle Java SE 6u95、7u80 と 8u45、Java SE Embedded 7u75、および Java SE Embedded 8u33 の詳細不明な脆弱性により、リモートの攻撃者は JMX に関連する不明なベクトルを介して機密性、整合性および可用性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-2637：Oracle Java SE 6u95、7u80 と 8u45、JavaFX 2.2.80、および Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は 2D に関連する不明なベクトルを介して機密性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-4733：Oracle Java SE 6u95、7u80 と 8u45、Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は RMI に関連する不明なベクトルを介して機密性、整合性および可用性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-4732：Oracle Java SE 6u95、7u80、8u45、および Java SE Embedded 7u75、8u33 の詳細不明な脆弱性により、リモートの攻撃者が、ライブラリに関連する不明なベクトルを介して機密性、整合性、可用性に影響を与えることができます。これは、CVE-2015-2590（bsc#938895）とは別の脆弱性です。

- CVE-2015-2621：Oracle Java SE 6u95、7u80 と 8u45、および Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は JMX に関連するベクトルを介して機密性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-2619：Oracle Java SE 7u80 と 8u45、JavaFX 2.2.80、および Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は 2D に関連する不明なベクトルを介して機密性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-2590：Oracle Java SE 6u95、7u80、8u45、および Java SE Embedded 7u75、8u33 の詳細不明な脆弱性により、リモートの攻撃者が、ライブラリに関連する不明なベクトルを介して機密性、整合性、可用性に影響を与えることができます。これは、CVE-2015-4732（bsc#938895）とは別の脆弱性です。

- CVE-2015-2638：Oracle Java SE 6u95、7u80 と 8u45、JavaFX 2.2.80、および Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は 2D に関連する不明なベクトルを介して機密性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-2625：Oracle Java SE 6u95、7u80 と 8u45、JRockit R28.3.6、および Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は JSSE に関連するベクトルを介して機密性に影響を与えることがあります（bsc#938895）。

- CVE-2015-2632：Oracle Java SE 6u95、7u80、および 8u45 の詳細不明な脆弱性により、リモートの攻撃者は 2D に関連する不明なベクトルを通じて機密性に影響を与えることがあります（bnc#938895）。

- CVE-2015-1931：特定されない脆弱性（bsc#938895）。

- CVE-2015-4760：Oracle Java SE 6u95、7u80、および 8u45 の詳細不明な脆弱性により、ローカルユーザーは 2D に関連する不明なベクトルを通じて機密性、整合性および可用性に影響を与える可能性があります（bsc#938895）。

- CVE-2015-4000：TLS プロトコル 1.2 以前は、DHE_EXPORT 暗号スイートがサーバーで有効で、しかしクライアントでは有効でない場合、DHE_EXPORT の選択を適切に伝送しませんでした。これにより、中間者攻撃者が、DHE を DHE_EXPORT に置換することで ClientHello を書き換え、続いて DHE_EXPORT を DHE に置換することで ServerHello を書き換えることによって、暗号ダウングレード攻撃を仕掛けることが可能でした。これは、「Logjam」問題として知られています（bsc#935540）。

- CVE-2015-2601：Oracle Java SE 6u95、7u80 と 8u45、JRockit R28.3.6、および Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は JCE に関連するベクトルを介して機密性に影響を与えることがあります（bsc#938895）。

- CVE-2015-2808：TLS プロトコル と SSL プロトコルで使われる RC4 アルゴリズムは、初期化フェーズでキーデータを使って状態データを適切に結合することができませんでした。そのためリモートの攻撃者によって、たまに不変性の弱点により影響を受けるキーに依存するネットワークトラフィックを盗聴したり、「Bar Mitzvah」問題として知られる LSB 値 を含むブルートフォースアプローチを使ったりすることによって、ストリームの最初のバイトへ平文回復攻撃を行うことをより簡単にしていました。（bsc#938895）。

- CVE-2015-4749：Oracle Java SE 6u95、7u80 と 8u45、JRockit R28.3.6、および Java SE Embedded 7u75 と 8u33 の詳細不明な脆弱性により、リモートの攻撃者は JNDI に関連するベクトルを介して可用性に影響を与えることがあります（bsc#938895）。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

OpenJDK の 2D、CORBA、JMX、Libraries および RMI コンポーネントに複数の欠陥が見つかりました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。
（CVE-2015-4760、CVE-2015-2628、CVE-2015-4731、CVE-2015-2590、 CVE-2015-4732、CVE-2015-4733）

OpenJDK の Libraries コンポーネントが Online Certificate Status Protocol（OCSP）の応答を検証する方法で、欠陥が見つかりました。nextUpdate の日付が指定されていない OCSP の応答は、無制限の有効性を持つものとして不適切に処理されていました。これにより、取り消された X.509 証明書が有効であると解釈される可能性があります。(CVE-2015-4748)

OpenJDK の JCE コンポーネントが複数のケースで定数時間の比較の使用に失敗することが見つかりました。攻撃者がこの欠陥を利用して、この非定数時間の比較を使用するオペレーションを実行するために使用される時間を測定することで、機密情報を漏洩できる可能性があります。(CVE-2015-2601)

RC4 暗号化アルゴリズムに欠陥が見つかりました。RC4 暗号化の特定の鍵を使用したとき、攻撃者が暗号化鍵の知識なしに暗号テキストから部分的な平文を取得することが可能でした。(CVE-2015-2808)

TLS プロトコルがディフィー・ヘルマン（DH）鍵の交換を構成する方法で欠陥が見つかりました。中間者攻撃を行う攻撃者はこの欠陥を利用して、鍵交換中に脆弱な 512 ビットのエクスポートグレード鍵の使用を強制することができます。これにより、すべてのトラフィックを復号化が可能になります。
(CVE-2015-4000)

OpenJDK の JNDI コンポーネントが、DNS 解決を適切に処理しないことが判明しました。こうした DNS エラーを発生させられる攻撃者が、 JNDI を使用する Java アプリケーションにメモリと CPU 時間を消費させたり、その後の DNS 解決をブロックすることが可能です。(CVE-2015-4749)

OpenJDK の JMX および 2D コンポーネントで、複数の情報漏洩の欠陥が見つかりました。信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。
（CVE-2015-2621、CVE-2015-2632）

OpenJDK の JSSE コンポーネントが、IP アドレスによって特定されたホストに対して TLS/SSL 接続を確立するときに X.509 証明書の ID 検証を実行する方法に欠陥が見つかりました。特定のケースでは、証明書が、IP アドレスがその IP アドレス以外を解決するホスト名に対して発行された場合、その証明書は有効であるとして受け入れられていました。
(CVE-2015-2625)

Oracle Java プラットフォームの実装である OpenJDK でいくつかの脆弱性が発見され、任意のコードの実行、Java サンドボックスの発生、情報漏洩、サービス拒否、セキュアでない暗号化が引き起こされる可能性があります。

Debian 6「Squeeze」では、これらの問題は openjdk-6 バージョン 6b36-1.13.8-1~deb6u1 で修正されました。

お使いの openjdk-6 パッケージをアップグレードすることを推奨します。

Debian Long Term Support（LTS）プロジェクト、およびこれらの更新を適用する方法の詳細：https://wiki.debian.org/LTS/

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

IBM Java がバージョン 6 SR16 FP7（6.0-16.7）に更新され、いくつかのセキュリティ問題とバグが修正されました。

次の脆弱性が修正されました：

- CVE-2015-1931：IBM Java セキュリティコンポーネントが平文のデータをメモリダンプに保存し、このためにローカルの攻撃者が情報を入手し、システムに対するさらなる攻撃を助ける可能性があります。

- CVE-2015-2590：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2601：JCE コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2621：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2625：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2632：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2637：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、 Java がアクセスできるデータのサブセットに対する、権限なしでの読み取りアクセスが可能になります。

- CVE-2015-2638：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2664：展開コンポーネントの悪用に困難な脆弱性はオペレーティングシステムにログオンする必要があります。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-2808：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java がアクセスできるデータのサブセットの読み取りアクセスが可能になります。

- CVE-2015-4000：JSSE コンポーネントの悪用に非常に困難な脆弱性は、 SSL/TLS で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性による攻撃が成功すると、特権がないアクセスで、 Java がアクセスできるデータへの更新、挿入、削除、ならびに Java Embedded がアクセスできるデータのサブセットの読み取りアクセスが可能になります。（bnc#935540）

- CVE-2015-4731：JMX コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4732：ライブラリコンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4733：RMI コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能でした。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4748：セキュリティコンポーネントの悪用に非常に困難な脆弱性は、 OCSP で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

- CVE-2015-4749：JNDI コンポーネントの悪用に困難な脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、権限なしで部分的なサービス拒否（部分的な DOS）を引き起こすことができます。

- CVE-2015-4760：2D コンポーネントの容易に悪用できる脆弱性は、複数のプロトコルで認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性の攻撃が成功すると、任意のコードの実行を含め、承認されていないオペレーティングシステムのテイクオーバーを引き起こす可能性があります。

以下の非セキュリティ問題が修正されました。

- bsc#936844：誤って構成された update-alternative エントリ

- bsc#941939：_jvmprivdir においてのみ、%{sdklnk} の代わりに
 %{name} を提供します

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85213	SUSE SLES11 セキュリティ更新：java-1_7_1-ibm（SUSE-SU-2015：1329-1）（Bar Mitzvah）（Logjam）	Nessus	SuSE Local Security Checks	2015/8/4	2022/12/5	low
85379	SUSE SLES11 セキュリティ更新：java-1_7_0-ibm（SUSE-SU-2015:1375-1）（Bar Mitzvah）（Logjam）	Nessus	SuSE Local Security Checks	2015/8/13	2022/12/5	low
85631	Amazon Linux AMI：java-1.6.0-openjdk（ALAS-2015-586）（Bar Mitzvah 氏）（Logjam）	Nessus	Amazon Linux Local Security Checks	2015/8/26	2022/12/5	low
85695	Debian DLA-303-1：openjdk-6 セキュリティ更新（Bar Mitzvah）（Logjam）	Nessus	Debian Local Security Checks	2015/8/31	2022/12/5	low
85869	SUSE SLES11 セキュリティ更新：java-1_6_0-ibm（SUSE-SU-2015:1509-1）（Bar Mitzvah 氏）（Logjam）	Nessus	SuSE Local Security Checks	2015/9/9	2022/12/5	low

検出

プラグインの検索

low

low

low

low

low