java-1.7.0-ibmの更新プログラムが、Red Hat Enterprise Linux 5 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン7には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 7がバージョン7 SR9-FP60にアップグレードされます。セキュリティ修正プログラム：* この更新では、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットの複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションに一覧表示されているIBM Javaセキュリティアラートのページを参照してください。（CVE-2016-5542、CVE-2016-5554、CVE-2016-5556、CVE-2016-5573、CVE-2016-5597）

Oracle Java プラットフォームの実装である OpenJDK に複数の脆弱性が見つかりました。これには、情報漏洩、サービス拒否、または任意のコードの実行を引き起こす可能性があります。Debian 7 'Wheezy' では、これらの問題はバージョン 7u111-2.6.7-2~deb7u1 で修正されています。お使いのopenjdk-7パッケージのアップグレードをお勧めします。注 : Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

java-1.6.0-ibmの更新プログラムが、Red Hat Enterprise Linux 5 SupplementaryおよびRed Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン6には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 6がバージョン6 SR16-FP35にアップグレードされます。セキュリティ修正プログラム：* この更新では、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットの複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションに一覧表示されているIBM Javaセキュリティアラートのページを参照してください。（CVE-2016-5542、CVE-2016-5554、CVE-2016-5556、CVE-2016-5573、CVE-2016-5597）

java-1_6_0-ibm用のこの更新プログラムでは、以下の問題が修正されています：

  -  6.0-16.35へのバージョン更新（bsc#1009280）次のCVEが修正されます：CVE-2016-5568、CVE-2016-5556、CVE-2016-5573、CVE-2016-5597、CVE-2016-5554、CVE-2016-5542

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

OpenJDKがJarの整合性検証に使用される一連のアルゴリズムを制限しないことがわかりました。攻撃者がこれを悪用し、検出されることなくJARファイルのコンテンツを変更し、システムの整合性に影響を与える可能性があります。（CVE-2016-5542）OpenJDKのJMXコンポーネントがクラスローダーの整合性チェックを十分に実行しないことがわかりました。攻撃者がこれを悪用し、Javaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5554）OpenJDKのHotspotコンポーネントが受信したJDWP（Java Debug Wire Protocol）パケットを適切にチェックしないことがわかりました。攻撃者がこれを悪用し、デバッグが有効になっているJavaアプリケーションにデバッグコマンドを送信する可能性があります。（CVE-2016-5573）特定の状況で、OpenJDKのHotspotコンポーネントがSystem.arraycopy()関数の引数を適切にチェックしていないことがわかりました。攻撃者がこれを悪用し、Javaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5582）OpenJDKでHTTPプロキシ認証が適切に処理されないことがわかりました。攻撃者がこれを悪用し、HTTPSサーバー認証資格情報を漏えいさせる可能性があります。（CVE-2016-5597）注意：Tenable Network Securityは、前述の説明ブロックをUbuntuセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

NTLM認証接続の不適切な再使用（Networking、8163520）：

OpenJDKのNetworkingコンポーネントのHTTPクライアント実装が、異なるセキュリティコンテキストでNTLM認証接続をキャッシュして再利用する可能性があることがわかりました。リモートの攻撃者がこの欠陥を利用して、Javaアプリケーションに異なるユーザーの資格情報で認証されたHTTPリクエストを実行させる可能性があります。（CVE-2017-3509）

SMTPクライアントの改行挿入（Networking、8171533）：

OpenJDKのNetworkingコンポーネントのSMTPクライアント実装で、改行の挿入の欠陥が発見されました。リモートの攻撃者がこの欠陥を利用して、Javaアプリケーションが確立するSMTP接続を操作する可能性があります。CVE-2017-3544

FTP クライアントの改行挿入Networking、8170222

OpenJDKのNetworkingコンポーネントのFTPクライアント実装で、改行の挿入の欠陥が発見されました。リモートの攻撃者がこの欠陥を利用して、Javaアプリケーションが確立するFTP接続を操作する可能性があります。CVE-2017-3533

jar検証のアルゴリズム制限がない（Libraries、8155973）：

OpenJDKのライブラリコンポーネントが、JARの整合性検証に使用される一連のアルゴリズムを制限しないことが発見されました。
この欠陥により、攻撃者が、弱い署名鍵またはハッシュアルゴリズムを使用する JAR ファイルのコンテンツを改ざんする可能性があります。CVE-2016-5542

Launcher の信頼できない拡張のディレクトリ検索パスJCE、8163528

OpenJDKのJCEコンポーネントで、信頼できないライブラリの検索パスの欠陥が見つかりました。ローカルの攻撃者がこの欠陥を利用して、JCEを使用してJavaアプリケーションに攻撃者が制御するライブラリを読み込ませて、権限を昇格させる可能性があります。（CVE-2017-3511）

jar 検証が可能な MD5セキュリティ、8171121

OpenJDKのセキュリティコンポーネントでは、Jarの整合性検証に許可されている一連のアルゴリズムをユーザーが制限できないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。
(CVE-2017-3539)

不完全な XML 解析ツリーサイズの強制JAXP、8169011

XML文書の解析時に、OpenJDKのJAXPコンポーネントが解析ツリーのサイズ制限を正しく実施していなかったことがわかりました。特別に細工されたXMLドキュメントをJavaアプリケーションに解析させることができる攻撃者がこの欠陥を利用して、過剰な量のCPUとメモリを消費させる可能性があります。（CVE-2017-3526）

java-1.7.1-ibmの更新プログラムが、Red Hat Satellite 5.7とRed Hat Satellite 5.6でで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン7リリース1には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 7がバージョン7R1 SR4-FP1にアップグレードされます。セキュリティ修正プログラム：* この更新では、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットの複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションに一覧表示されているIBM Javaセキュリティアラートのページを参照してください。（CVE-2016-2183、CVE-2017-3272、CVE-2017-3289、CVE-2017-3253、CVE-2017-3261、CVE-2017-3231、CVE-2016-5547、CVE-2016-5552、CVE-2017-3252、CVE-2016-5546、CVE-2016-5548、CVE-2016-5549、CVE-2017-3241、CVE-2017-3259、CVE-2016-5573、CVE-2016-5554、CVE-2016-5542、CVE-2016-5597、CVE-2016-5556、CVE-2016-3598、CVE-2016-3511、CVE-2016-0363、CVE-2016-0686、CVE-2016-0687、CVE-2016-3426、CVE-2016-3427、CVE-2016-3443、CVE-2016-3449、CVE-2016-3422、CVE-2016-0376、CVE-2016-0264）

java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* 特定の状況で、OpenJDKのHotspotコンポーネントがSystem.arraycopy()関数の引数を適切にチェックしないことがわかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、仮想マシンのメモリを破損し、Javaサンドボックスの制限を完全にバイパスする可能性があります。（CVE-2016-5582）* OpenJDKのHotspotコンポーネントが、受信したJDWP（Java Debug Wire Protocol）パケットを適切にチェックしないことがわかりました。攻撃者はこの欠陥を利用して、デバッグされたアプリケーションのJDWPポートに被害者のブラウザーからHTTP要求を送信することに成功した場合、デバッグを有効にして実行中のJavaプログラムにデバッグコマンドを送信する可能性があります。（CVE-2016-5573）* OpenJDKのライブラリコンポーネントが、Jarの整合性検証に使用される一連のアルゴリズムを制限しないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。（CVE-2016-5542）注意：この更新後、MD2ハッシュアルゴリズムと1024ビット未満のRSAキーは、デフォルトでJarの整合性検証に使用できなくなります。MD5ハッシュアルゴリズムは、今後の更新によりデフォルトで無効化される予定です。新しく導入されたセキュリティプロパティのjdk.jar.disabledAlgorithmsが無効化されたアルゴリズムのセットの制御に使用される可能性があります。* OpenJDKのJMXコンポーネントがクラスローダーを処理する方法に、欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5554）* OpenJDKのNetworkingコンポーネントがHTTPプロキシ認証を処理する方法に欠陥が見つかりました。プロキシが認証を求めた場合、JavaアプリケーションはHTTPプロキシへのプレーンテキストネットワーク接続を介してHTTPSサーバー認証の資格情報を公開する可能性があります。（CVE-2016-5597）注意：この更新後、HTTPプロキシ経由でHTTPS接続をトンネリングするときに、基本HTTPプロキシ認証を使用できなくなります。新しく導入されたシステムプロパティjdk.http.auth.proxying.disabledSchemesおよびjdk.http.auth.tunneling.disabledSchemesを使用して、それぞれのHTTPプロキシおよびHTTPS接続をプロキシするときにHTTPプロキシがリクエストできる認証スキームを制御できます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
94501	RHEL 5：java-1.7.0-ibm（RHSA-2016:2138）	Nessus	Red Hat Local Security Checks	2016/11/3	2026/1/20	critical
94587	Debian DLA-704-1 : openjdk-7 セキュリティ更新	Nessus	Debian Local Security Checks	2016/11/7	2026/1/20	critical
94624	RHEL 5/6：java-1.6.0-ibm（RHSA-2016:2659）	Nessus	Red Hat Local Security Checks	2016/11/8	2026/1/19	critical
95607	SUSE SLES11セキュリティ更新プログラム：java-1_6_0-ibm（SUSE-SU-2016:3040-1）	Nessus	SuSE Local Security Checks	2016/12/7	2026/1/15	critical
95629	Ubuntu 12.04 LTS：openjdk-6の脆弱性（USN-3154-1）	Nessus	Ubuntu Local Security Checks	2016/12/8	2026/1/15	critical
100105	Amazon Linux AMI：java-1.8.0-openjdk（ALAS-2017-827）	Nessus	Amazon Linux Local Security Checks	2017/5/11	2025/12/19	high
100094	RHEL 6：java-1.7.1-ibm（RHSA-2017:1216）	Nessus	Red Hat Local Security Checks	2017/5/10	2025/12/19	critical
94740	CentOS 5/6/7：java-1.7.0-openjdk（CESA-2016:2658）	Nessus	CentOS Local Security Checks	2016/11/14	2021/1/4	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

high

critical

critical