特定の状況で、OpenJDKのHotspot コンポーネントが System.arraycopy() 関数の引数を適切にチェックしていないことがわかりました。攻撃者がこれを悪用し、Java サンドボックスの制限をバイパスする可能性があります。
(CVE-2016-5582)

OpenJDK が Jar の整合性検証に使用される一連のアルゴリズムを制限しないことがわかりました。攻撃者がこれを悪用し、検出されることなく JAR ファイルのコンテンツを変更し、システムの整合性に影響を与える可能性があります。(CVE-2016-5542)

OpenJDK の JMX コンポーネントがクラスローダーの整合性チェックを十分に実行しないことがわかりました。攻撃者がこれを悪用し、Java サンドボックスの制限をバイパスする可能性があります。(CVE-2016-5554)

OpenJDK の Hotspot コンポーネントが受信した JDWP (Java Debug Wire Protocol) パケットを適切にチェックしないことがわかりました。攻撃者がこれを悪用し、デバッグが有効になっている Java アプリケーションにデバッグコマンドを送信する可能性があります。(CVE-2016-5573)

OpenJDK で HTTP プロキシ認証が適切に処理されないことがわかりました。攻撃者がこれを悪用し、HTTPS サーバー認証資格情報を漏えいさせる可能性があります。(CVE-2016-5597)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

OpenJDKのライブラリコンポーネントが、JARの整合性検証に使用される一連のアルゴリズムを制限しないことが発見されました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJARファイルのコンテンツを、攻撃者が変更する可能性があります。（CVE-2016-5542）OpenJDKのJMXコンポーネントがクラスローダーを処理する方法に欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5554）OpenJDKのネットワークコンポーネントがHTTPプロキシ認証を処理する方法に欠陥が見つかりました。プロキシが認証を求めた場合、JavaアプリケーションはHTTPプロキシへのプレーンテキストネットワーク接続を介してHTTPSサーバー認証の資格情報を公開する可能性があります。（CVE-2016-5597）OpenJDKのHotspotコンポーネントが、受信したJDWP（Java Debug Wire Protocol）パケットを適切にチェックしないことがわかりました。攻撃者はこの欠陥を利用して、デバッグされたアプリケーションのJDWPポートに被害者のブラウザーからHTTP要求を送信することに成功した場合、デバッグを有効にして実行中のJavaプログラムにデバッグコマンドを送信する可能性があります。（CVE-2016-5573）特定の状況で、OpenJDKのHotspotコンポーネントがSystem.arraycopy()関数の引数を適切にチェックしていないことがわかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、仮想マシンのメモリを破損し、Javaサンドボックスの制限を完全にバイパスする可能性があります。（CVE-2016-5582）

java-1_7_0-openjdk用のこの更新プログラムでは、以下の問題が修正されています：

  - 2.6.8 - OpenJDK 7u121に更新してください

  - セキュリティ修正

  + S8151921：ページ解像度が改善されました

  + S8155968：コマンドラインオプションを更新します

  + S8155973、CVE-2016-5542：jarチェックを強化します（boo#1005522）

  + S8157176：classfileの解析を改善しました

  + S8157739、CVE-2016-5554：クラスローダーの整合性チェック（boo#1005523）

  + S8157749：DNSエラー応答の処理が改善されます

  + S8157753：オーディオ再生の強化

  + S8157759：LCMS変換サンプリングの強化

  + S8157764：補間プラグインの処理を改善しました

  + S8158302：コンテキストグリフ置換を処理します

  + S8158993、CVE-2016-5568：サービスメニューのサービス（boo#1005525）

  + S8159495：インデックスオフセットを修正します

  + S8159503：注釈アクションを修正します

  + S8159511：スタックマップ検証

  + S8159515：indy検証を改善します

  + S8159519、CVE-2016-5573：JDWPメッセージの形式を変更します（boo#1005526）

  + S8160090：pack200での署名処理の改善

  + S8160094：pack200レイアウトを改善します

  + S8160098：カラープロファイルをクリーンアップします

  + S8160591、CVE-2016-5582：内部配列処理を改善します（boo#1005527）

  + S8160838、CVE-2016-5597：HTTPサービスの改善（boo#1005528）

  + PR3207、RH1367357：lcms2：Type_MLU_Read() の領域外読み取り

  + CVE-2016-5556（boo#1005524）

  - OpenJDK 7 u121ビルド0のインポート

  + S6624200：リグレッションテストの失敗：
    test/closed/javax/swing/JMenuItem/4654927/bug4654927.jav a

  + S6882559：新しいJEditorPane('text/plain','')がnullコンテキストクラスローダーで失敗します

  + S7090158：ネットワーキングライブラリはjavacでビルドしません
    -Werror

  + S7125055：ContentHandler.getContent APIの変更がエラーになります

  + S7145960：Windowsでsun/security/mscapi/ShortRSAKey1024.shが失敗します

  + S7187051：ShortRSAKeynn.shテストは、テスト開始前にクリーンアップを実行する必要があります

  + S8000626：LinuxでKeyEventに対するデッドキー検出を実装します

  + S8003890：corelibsテストスクリプトはTESTVMOPTSを渡す必要があります

  + S8005629：java.awt.EventDispatchThreadおよびsun.awt.X11.XIconWindowのコンパイルでのjavac警告

  + S8010297：ロギングコードでのisLoggable()チェックの欠落

  + S8010782：復帰文字を含むソースファイルをクリーンアップします

  + S8014431：Linuxのによって-Wunused-valueコンパイラオプションによって示される
    警告のクリーンアップ

  + S8015265：8007037の修正を訂正します

  + S8016747：非推奨のPlatformLogger isLoggable(int)をLoggable(Level)に置き換えます

  + S8020708：SwingSet2/JInternalFrameデモにNLSニーモニックがありません

  + S8024756：メソッドグループ化タブは選択できません

  + S8026741：jdk8 l10nリソースファイル変換更新5

  + S8048147：JAAS Subject.doAsによる権限テスト

  + S8048357：PKCS基本テスト

  + S8049171：jarsignerの警告の追加テスト

  + S8059177：jdk8u40 l10nリソースファイル変換更新1

  + S8075584：8067364のテストは、組み込まれているテキスト事前認証に依存します

  + S8076486：[TESTBUG]追加のVMオプションが指定されている場合にjavax/security/auth/Subject/doAs/NestedActions.javaが失敗します

  + S8077953：[TEST_BUG] JDK-8077387の後でcom/sun/management/OperatingSystemMXBean/TestTotalSwap.javaコンパイルが失敗しました

  + S8080628：JFileChooserで「Open」ボタンと「Save」ボタンのニーモニックがありません

  + S8083601：jdk8u60 l10n リソースファイル変換更新2

  + S8140530：サイズが0,0のVolatileImageを作成すると、g2d.drawStringが機能しなります

  + S8142926：OutputAnalyzerのshouldXXX()呼び出しがこれを返します

  + S8143134：L10n リソースファイル変換の更新

  + S8147077：api/java_awt/Component/FlipBufferStrategy/indexTGF_Gener alによりlllegalArgumentExceptionが返されます

  + S8148127：openglパイプラインでJCKテストapi/java_awt/Component/FlipBufferStrategy/indexTGF_Gener alによりlllegalArgumentExceptionが返されます

  + S8150611：sun.misc.resources.Messages*に関するセキュリティ問題

  + S8157653：[Parfait] awt_Font.cppの初期化されていない変数

  + S8158734：JEditorPane.createEditorKitForContentTypeが6882559の後にNPEをスローします

  + S8159684：(tz) Support tzdata2016f

  + S8160934：isnan()は古いMSVCコンパイラでは利用できません

  + S8162411：Service Menuのサービス2

  + S8162419：
    JDK-8155968の後にclosed/com/oracle/jfr/runtime/TestVMInfoEvent.shが失敗します

  + S8162511：8u111 L10n リソースファイルの更新

  + S8162792：jdk8の jdk.jar.disabledAlgorithmsからDSA keySize < 1024という制約を削除します

  + S8164452：8u111 L10n リソースファイルの更新 - msgdrop 20

  + S8165816：jarsigner -verifyにより、jarが弱いアルゴリズムで署名されている場合、jarが未署名であると表示されます。

  + S8166381：MD5を無効にしないようにするため、java.securityファイルへの変更を取り消します。

  - バックポート

  + S6604109、PR3162：
    javax.print.PrintServiceLookup.lookupPrintServicesがCupsで失敗することがあります

  + S6907252、PR3162：ZipFileInputStreamがスレッドセーフではありません

  + S8024046、PR3162：テストsun/security/krb5/runNameEquals.shが7u45 Embedded linux-ppc*で失敗します

  + S8028479、PR3162：runNameEqualsは依然として、利用可能なネイティブkrb5が使用できるかどうかを正確に検出できません

  + S8034057、PR3162：Files.getFileStoreおよびFiles.isWritableが、SUBSTされたドライブで動作しません（win）

  + S8038491、PR3162：ZipFile.read()での同期を改善します

  + S8038502、PR3162：Deflater.needsInput()は同期を使用する必要があります

  + S8059411、PR3162：RowSetWarningが警告を正しくチェーンしません

  + S8062198、PR3162：RowSetMetaDataImplテストを追加し、列範囲検証をisdefinitlyWritableに追加します

  + S8066188、PR3162：BaseRowSetがエスケープ処理のデフォルト値として誤った値を返します

  + S8072466、PR3162：MulticastSocketおよびDatagramSocketの初期化時のデッドロック

  + S8075118、PR3162：検証中にJVMが無限ループに陥ります

  + S8076579、PR3162：例外ブレークポイントが最後のメソッドパラメーターを例外に設定した後にスタックフレームをポップ

  + S8078495、PR3162：ネイティブTGTの終了時間のチェックが間違っています

  + S8078668、PR3162：jarの使用法を示す文字列で、サポートされていないオプション「-n」が示されています

  + S8080115、PR3162：（fs）並列スレッドからFiles.probeContentType(path)を呼び出すとlibgioでクラッシュが発生します

  + S8081794、PR3162：ParsePosition getErrorIndexがTimeZone解析問題を示す0を返します

  + S8129957、PR3162：LDAPコンテキストを閉じるときにJNDI LDAP実装でデッドロックが発生します

  + S8130136、PR3162：Swingウィンドウが公開されると、部分的な再描画が失敗することがあります

  + S8130274、PR3162：反復での2つの連続したストアが等しいと判断されると、java/nio/file/FileStore/Basic.javaが失敗します

  + S8132551、PR3162：p11_convert.cでローカル変数を返す前に、それらのローカル変数を初期化します

  + S8133207、PR3162：[TEST_BUG]ParallelProbes.javaテストがJDK-8080115に対する変更後に失敗します

  + S8133666、PR3162：OperatingSystemMXBeanが、LinuxでマシンのCPU消費が異常に高いことを報告します

  + S8135002、PR3162：objectMonitor.cppコメントの破損したリンクを修正または削除します

  + S8137121、PR3162：（fc）FileChannel.truncateの無限ループ

  + S8137230、PR3162：TEST_BUG：
    java/nio/channels/FileChannel/LoopingTruncate.javaがタイムアウトしました

  + S8139373、PR3162：[TEST_BUG] java/net/MulticastSocket/MultiDead.java がタイムアウトで失敗しました

  + S8140249、PR3162：フライトレコーディングが有効の場合の起動中の JVM クラッシュ

  + S8141491、PR3160、G592292：Bits.cでのアラインされていないメモリアクセス

  + S8144483、PR3162：1 つの長いセーフポイントが各 GC ログロテーション後に直接一時停止します

  + S8149611、PR3160、G592292：Unsafe.copySwapMemoryのテストを追加します

  - バグ修正

  + S8078628、PR3151：事前コンパイルされたヘッダーが無効な状態でのゼロビルドが失敗します

  + PR3128：pax-mark-vmスクリプトが「exit -1」を呼び出しますが、これはdashでは無効です

  + PR3131：拡張属性をサポートしていないファイルシステムでPaXマーキングが失敗します

  + PR3135：makefile.amルールのstamps/add/tzdata-support-debug.stampで、add-tzdataの依存関係に誤字があります

  + PR3141：$(CC)および$(CXX)をOpenJDKビルドに渡します

  + PR3166：無効なzipタイムスタンプ処理により、bootstrap-javacビルド中にエラーが発生します

  + PR3202：Infinality構成テストを更新します

  + PR3212：デフォルトでARM32 JITを無効化します

  - CACAO

  + PR3136：sun.misc.Unsafeの2つの新しいネイティブメソッドが原因で、CACAOが破損します（ S8158260から）

  - JamVM

  + PR3134：sun.misc.Unsafeの2つの新しいネイティブメソッドが原因で、JamVMが破損します（ S8158260から）

  - AArch64ポート

  + S8167200、PR3204：AArch64：インタープリターでの機能しないスタックポインター調整

  + S8168888：ポート8160591：AArch64に対する内部配列処理を改善します。

  + PR3211：事前コンパイルされたヘッダーが無効な状態でAArch64のゼロビルドが失敗します

  - 変更されたパッチ：

  - java-1_7_0-openjdk-gcc6.patch

  + 変更されたコンテキストへのRediff

  - ビルドが破損しているため、arm32 JITを無効にします（http://icedtea.classpath.org/bugzilla/show_bug.cgi?id=2942）

java-1_7_0-openjdk用のこの更新プログラムでは、以下の問題が修正されています：

  - 2.6.8 - OpenJDK 7u121に更新してください

  - セキュリティ修正

  + S8151921：ページ解像度が改善されました

  + S8155968：コマンドラインオプションを更新します

  + S8155973、CVE-2016-5542：jarチェックを強化します（bsc#1005522）

  + S8157176：classfileの解析を改善しました

  + S8157739、CVE-2016-5554：クラスローダーの整合性チェック（bsc#1005523）

  + S8157749：DNSエラー応答の処理が改善されます

  + S8157753：オーディオ再生の強化

  + S8157759：LCMS変換サンプリングの強化

  + S8157764：補間プラグインの処理を改善しました

  + S8158302：コンテキストグリフ置換を処理します

  + S8158993、CVE-2016-5568：サービスメニューのサービス（bsc#1005525）

  + S8159495：インデックスオフセットを修正します

  + S8159503：注釈アクションを修正します

  + S8159511：スタックマップ検証

  + S8159515：indy検証を改善します

  + S8159519、CVE-2016-5573：JDWPメッセージの形式を変更します（bsc#1005526）

  + S8160090：pack200での署名処理の改善

  + S8160094：pack200レイアウトを改善します

  + S8160098：カラープロファイルをクリーンアップします

  + S8160591、CVE-2016-5582：内部配列処理を改善します（bsc#1005527）

  + S8160838、CVE-2016-5597：HTTPサービスの改善（bsc#1005528）

  + PR3207、RH1367357：lcms2：Type_MLU_Read() の領域外読み取り

  + CVE-2016-5556（bsc#1005524）

  - OpenJDK 7 u121ビルド0のインポート

  + S6624200：リグレッションテストの失敗：
    test/closed/javax/swing/JMenuItem/4654927/bug4654927.jav a

  + S6882559：新しいJEditorPane('text/plain','')がnullコンテキストクラスローダーで失敗します

  + S7090158：ネットワーキングライブラリはjavacでビルドしません
    -Werror

  + S7125055：ContentHandler.getContent APIの変更がエラーになります

  + S7145960：Windowsでsun/security/mscapi/ShortRSAKey1024.shが失敗します

  + S7187051：ShortRSAKeynn.shテストは、テスト開始前にクリーンアップを実行する必要があります

  + S8000626：LinuxでKeyEventに対するデッドキー検出を実装します

  + S8003890：corelibsテストスクリプトはTESTVMOPTSを渡す必要があります

  + S8005629：java.awt.EventDispatchThreadおよびsun.awt.X11.XIconWindowのコンパイルに関するjavac警告☆

  + S8010297：ロギングコードでのisLoggable（）チェックの欠如

  + S8010782：復帰文字を含むソースファイルをクリーンアップします

  + S8014431：Linuxのによって示されるクリーンアップ警告
    クリーンアップ警告

  + S8015265：8007037の修正を訂正します

  + S8016747：非推奨のPlatformLogger isLoggable(int)をLoggable(Level)に置き換えます

  + S8020708：SwingSet2/JInternalFrameデモにNLSニーモニックがありません

  + S8024756：メソッドグループ化タブは選択できません

  + S8026741：jdk8 l10nリソースファイル変換更新5

  + S8048147：JAAS Subject.doAsによる権限テスト

  + S8048357：PKCS基本テスト

  + S8049171：jarsignerの警告の追加テスト

  + S8059177：jdk8u40 lリソースファイル変換更新1

  + S8075584：8067364のテストは、組み込まれているテキスト事前認証に依存します

  + S8076486：[TESTBUG]追加のVMオプションが指定されている場合にjavax/security/auth/Subject/doAs/NestedActions.javaが失敗します

  + S8077953：[TEST_BUG] JDK-8077387の後で com/sun/management/OperatingSystemMXBean/TestTotalSwap.j ava コンパイルが失敗しました

  + S8080628：JFileChooserにNo mnemonics on Open and Save buttons in

  + S8083601：jdk8u60 l10n リソースファイル変換更新2

  + S8140530：サイズが0,0のVolatileImageを作成すると、g2d.drawStringが機能しなります

  + S8142926：OutputAnalyzerのshouldXXX()呼び出しがこれを返します

  + S8143134：L10n リソースファイル変換の更新

  + S8147077：api/java_awt/Component/FlipBufferStrategy/indexTGF_Gener alによりlllegalArgumentExceptionが返されます

  + S8148127：openglパイプラインでJCKテストapi/java_awt/Component/FlipBufferStrategy/indexTGF_Gener alによりlllegalArgumentExceptionが返されます

  + S8150611：sun.misc.resources.Messages*に関するセキュリティ問題

  + S8157653：[Parfait] awt_Font.cppの初期化されていない変数

  + S8158734：JEditorPane.createEditorKitForContentTypeが6882559の後にNPEをスローします

  + S8159684：(tz) Support tzdata2016f

  + S8160934：isnan()は古いMSVCコンパイラでは利用できません

  + S8162411：Service Menuのサービス2

  + S8162419：
    JDK-8155968の後にclosed/com/oracle/jfr/runtime/TestVMInfoEvent.shが失敗します

  + S8162511：8u111 L10n リソースファイルの更新

  + S8162792：jdk8のjdk.jar.disabledAlgorithmsからDSA keySizeの制約を削除します

  + S8164452：8u111 L10n リソースファイルの更新 - msgdrop 20

  + S8165816：jarsigner -verifyにより、jarが弱いアルゴリズムで署名されている場合、jarが未署名であると表示されます。

  + S8166381：MD5を無効にしないようにするため、java.securityファイルへの変更を取り消します。

  - バックポート

  + S6604109、PR3162：
    javax.print.PrintServiceLookup.lookupPrintServicesがCupsで失敗することがあります

  + S6907252、PR3162：ZipFileInputStreamがスレッドセーフではありません

  + S8024046、PR3162：テストsun/security/krb5/runNameEquals.shが7u45 Embedded linux-ppc*で失敗します

  + S8028479、PR3162：runNameEqualsは依然として、利用可能なネイティブkrb5が使用できるかどうかを正確に検出できません

  + S8034057、PR3162：Files.getFileStoreおよびFiles.isWritableが、SUBSTされたドライブで動作しません（win）

  + S8038491、PR3162：ZipFile.read()での同期を改善します

  + S8038502、PR3162：Deflater.needsInput()は同期を使用する必要があります

  + S8059411、PR3162：RowSetWarningが警告を正しくチェーンしません

  + S8062198、PR3162：RowSetMetaDataImplテストを追加し、列範囲検証をisdefinitlyWritableに追加します

  + S8066188、PR3162：BaseRowSetがエスケープ処理のデフォルト値として誤った値を返します

  + S8072466、PR3162：MulticastSocketおよびDatagramSocketの初期化時のデッドロック

  + S8075118、PR3162：検証中にJVMが無限ループに陥ります

  + S8076579、PR3162：例外ブレークポイントが最後のメソッドパラメーターを例外に設定した後にスタックフレームをポップ

  + S8078495、PR3162：ネイティブTGTの終了時間のチェックが間違っています

  + S8078668、PR3162：jarの使用法を示す文字列で、サポートされていないオプション「-n」が示されています☆

  + S8080115、PR3162：（fs）並列スレッドからFiles.probeContentType(path)を呼び出すとlibgioでクラッシュが発生します

  + S8081794、PR3162：ParsePosition getErrorIndexがTimeZone解析問題を示す0を返します

  + S8129957、PR3162：LDAPコンテキストを閉じるときにJNDI LDAP実装でデッドロックが発生します

  + S8130136、PR3162：Swingウィンドウが公開されると、部分的な再描画が失敗することがあります

  + S8130274、PR3162：反復での2つの連続したストアが等しいと判断されると、java/nio/file/FileStore/Basic.javaが失敗します

  + S8132551、PR3162：p11_convert.cでローカル変数を返す前に、それらのローカル変数を初期化します

  + S8133207、PR3162：[TEST_BUG]ParallelProbes.javaテストがJDK-8080115に対する変更後に失敗します

  + S8133666、PR3162：OperatingSystemMXBeanが、LinuxでマシンのCPU消費が異常に高いことを報告します

  + S8135002、PR3162：objectMonitor.cppコメントの破損したリンクを修正または削除します

  + S8137121、PR3162：（fc）FileChannel.truncateの無限ループ

  + S8137230、PR3162：TEST_BUG：
    java/nio/channels/FileChannel/LoopingTruncate.javaがタイムアウトしました

  + S8139373、PR3162：[TEST_BUG] java/net/MulticastSocket/MultiDead.java がタイムアウトで失敗しました

  + S8140249、PR3162：フライトレコーディングが有効の場合の起動中の JVM クラッシュ

  + S8141491、PR3160、G592292：Bits.cでのアラインされていないメモリアクセス

  + S8144483、PR3162：1 つの長いセーフポイントが各 GC ログロテーション後に直接一時停止します

  + S8149611、PR3160、G592292：Unsafe.copySwapMemoryのテストを追加します

  - バグ修正

  + S8078628、PR3151：事前コンパイルされたヘッダーが無効な状態でのゼロビルドが失敗します

  + PR3128：pax-mark-vmスクリプトが「exit -1」を呼び出しますが、これはdashでは無効です

  + PR3131：拡張属性をサポートしていないファイルシステムでPaXマーキングが失敗します

  + PR3135：makefile.amルールのstamps/add/tzdata-support-debug.stampで、add-tzdataの依存関係に誤字があります

  + PR3141：$(CC)および$(CXX)をOpenJDKビルドに渡します

  + PR3166：無効なzipタイムスタンプ処理により、bootstrap-javacビルド中にエラーが発生します

  + PR3202：Infinality構成テストを更新します

  + PR3212：デフォルトでARM32 JITを無効化します

  - CACAO

  + PR3136：sun.misc.Unsafeの2つの新しいネイティブメソッドが原因で、CACAOが破損します（ S8158260から）

  - JamVM

  + PR3134：sun.misc.Unsafeの2つの新しいネイティブメソッドが原因で、JamVMが破損します（ S8158260から）

  - AArch64ポート

  + S8167200、PR3204：AArch64：インタープリターでの機能しないスタックポインター調整

  + S8168888：ポート8160591：AArch64に対する内部配列処理を改善します。

  + PR3211：事前コンパイルされたヘッダーが無効な状態でAArch64のゼロビルドが失敗します

  - 変更されたパッチ：

  - java-1_7_0-openjdk-gcc6.patch

  + 変更されたコンテキストへのRediff

  - ビルドが破損しているため、arm32 JITを無効にします（http://icedtea.classpath.org/bugzilla/show_bug.cgi?id=2942）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

java-1_7_0-ibm用のこの更新プログラムでは、以下の問題が修正されています：

  - 7.0-9.60へのバージョン更新（bsc#1009280、bsc#992537）次のCVEが修正されます：CVE-2016-5568、CVE-2016-5556、CVE-2016-5573、CVE-2016-5597、CVE-2016-5554、CVE-2016-5542

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

java-1.6.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.6.0-openjdkパッケージには、OpenJDK 6 Java Runtime EnvironmentおよびOpenJDK 6 Javaソフトウェア開発キットがあります。セキュリティ修正プログラム：* 特定の状況で、OpenJDKのHotspotコンポーネントがSystem.arraycopy()関数の引数を適切にチェックしないことがわかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、仮想マシンのメモリを破損し、Javaサンドボックスの制限を完全にバイパスする可能性があります。（CVE-2016-5582）* OpenJDKのHotspotコンポーネントが、受信したJDWP（Java Debug Wire Protocol）パケットを適切にチェックしないことがわかりました。攻撃者はこの欠陥を利用して、デバッグされたアプリケーションのJDWPポートに被害者のブラウザーからHTTP要求を送信することに成功した場合、デバッグを有効にして実行中のJavaプログラムにデバッグコマンドを送信する可能性があります。（CVE-2016-5573）* OpenJDKのライブラリコンポーネントが、Jarの整合性検証に使用される一連のアルゴリズムを制限しないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。（CVE-2016-5542）注意：この更新後、MD2ハッシュアルゴリズムと1024ビット未満のRSAキーは、デフォルトでJarの整合性検証に使用できなくなります。MD5ハッシュアルゴリズムは、今後の更新によりデフォルトで無効化される予定です。新しく導入されたセキュリティプロパティのjdk.jar.disabledAlgorithmsが無効化されたアルゴリズムのセットの制御に使用される可能性があります。* OpenJDKのJMXコンポーネントがクラスローダーを処理する方法に、欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5554）* OpenJDKのNetworkingコンポーネントがHTTPプロキシ認証を処理する方法に欠陥が見つかりました。プロキシが認証を求めた場合、JavaアプリケーションはHTTPプロキシへのプレーンテキストネットワーク接続を介してHTTPSサーバー認証の資格情報を公開する可能性があります。（CVE-2016-5597）注意：この更新後、HTTPプロキシ経由でHTTPS接続をトンネリングするときに、基本HTTPプロキシ認証を使用できなくなります。新しく導入されたシステムプロパティjdk.http.auth.proxying.disabledSchemesおよびjdk.http.auth.tunneling.disabledSchemesを使用して、それぞれのHTTPプロキシおよびHTTPS接続をプロキシするときにHTTPプロキシがリクエストできる認証スキームを制御できます。

特定の状況で、OpenJDKのHotspotコンポーネントがSystem.arraycopy()関数の引数を適切にチェックしていないことが発見されました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、仮想マシンのメモリを破損し、Javaサンドボックスの制限を完全にバイパスする可能性があります。（CVE-2016-5582）OpenJDKのHotspotコンポーネントが、受信したJDWP（Java Debug Wire Protocol）パケットを適切にチェックしていないことが発見されました。攻撃者はこの欠陥を利用して、デバッグされたアプリケーションのJDWPポートに被害者のブラウザーからHTTP要求を送信することに成功した場合、デバッグを有効にして実行中のJavaプログラムにデバッグコマンドを送信する可能性があります。（CVE-2016-5573）OpenJDKのライブラリコンポーネントが、Jarの整合性検証に使用される一連のアルゴリズムを制限しないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJARファイルのコンテンツを、攻撃者が変更する可能性があります。（CVE-2016-5542）注意：この更新後、MD2ハッシュアルゴリズムと1024ビット未満のRSAキーは、デフォルトでJarの整合性検証に使用できなくなります。MD5ハッシュアルゴリズムは、今後の更新によりデフォルトで無効化される予定です。新しく導入されたセキュリティのプロパティjdk.jar.disabledAlgorithmsを使用して、無効なアルゴリズムのセットを制御できます。OpenJDKのJMXコンポーネントがクラスローダーを処理する方法に欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5554）OpenJDKのネットワークコンポーネントがHTTPプロキシ認証を処理する方法に欠陥が見つかりました。プロキシが認証を求めた場合、JavaアプリケーションはHTTPプロキシへのプレーンテキストネットワーク接続を介してHTTPSサーバー認証の資格情報を公開する可能性があります。（CVE-2016-5597）注意：この更新後、HTTPプロキシ経由でHTTPS接続をトンネリングするときに、基本HTTPプロキシ認証を使用できなくなります。新しく導入されたシステムプロパティjdk.http.auth.proxying.disabledSchemesおよびjdk.http.auth.tunneling.disabledSchemesを使用して、それぞれのHTTPプロキシおよびHTTPS接続をプロキシするときにHTTPプロキシがリクエストできる認証スキームを制御できます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
94510	Ubuntu 16.04 LTS : OpenJDK 8 の脆弱性 (USN-3121-1)	Nessus	Ubuntu Local Security Checks	2016/11/3	2024/8/27	critical
94977	Amazon Linux AMI：java-1.7.0-openjdk（ALAS-2016-771）	Nessus	Amazon Linux Local Security Checks	2016/11/21	2026/1/16	critical
95023	openSUSEセキュリティ更新プログラム：java-1_8_0-openjdk（openSUSE-2016-1335）	Nessus	SuSE Local Security Checks	2016/11/21	2026/1/16	critical
95311	openSUSEセキュリティ更新プログラム：java-1_7_0-openjdk（openSUSE-2016-1357）	Nessus	SuSE Local Security Checks	2016/11/25	2026/1/16	critical
95423	SUSE SLED12 / SLES12セキュリティ更新プログラム：java-1_7_0-openjdk（SUSE-SU-2016:2953-1）	Nessus	SuSE Local Security Checks	2016/12/1	2026/1/15	critical
95710	SUSE SLES11セキュリティ更新プログラム：java-1_7_0-ibm（SUSE-SU-2016:3068-1）	Nessus	SuSE Local Security Checks	2016/12/12	2026/1/14	critical
96457	CentOS 5/6/7：java-1.6.0-openjdk（CESA-2017:0061）	Nessus	CentOS Local Security Checks	2017/1/13	2021/1/4	critical
97025	Amazon Linux AMI：java-1.6.0-openjdk（ALAS-2017-795）	Nessus	Amazon Linux Local Security Checks	2017/2/7	2026/1/1	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical