OpenJDKがJarの整合性検証に使用される一連のアルゴリズムを制限しないことがわかりました。攻撃者がこれを悪用し、検出されることなくJARファイルのコンテンツを変更し、システムの整合性に影響を与える可能性があります。（CVE-2016-5542）OpenJDKのJMXコンポーネントがクラスローダーの整合性チェックを十分に実行しないことがわかりました。攻撃者がこれを悪用し、Javaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5554）OpenJDKのHotspotコンポーネントが受信したJDWP（Java Debug Wire Protocol）パケットを適切にチェックしないことがわかりました。攻撃者がこれを悪用し、デバッグが有効になっているJavaアプリケーションにデバッグコマンドを送信する可能性があります。（CVE-2016-5573）特定の状況で、OpenJDKのHotspotコンポーネントがSystem.arraycopy()関数の引数を適切にチェックしていないことがわかりました。攻撃者がこれを悪用し、Javaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5582）OpenJDKでHTTPプロキシ認証が適切に処理されないことがわかりました。攻撃者がこれを悪用し、HTTPSサーバー認証資格情報を漏えいさせる可能性があります。（CVE-2016-5597）注意：Tenable Network Securityは、前述の説明ブロックをUbuntuセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

java-1.7.1-ibmの更新プログラムが、Red Hat Satellite 5.7とRed Hat Satellite 5.6でで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン7リリース1には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 7がバージョン7R1 SR4-FP1にアップグレードされます。セキュリティ修正プログラム：* この更新では、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットの複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションに一覧表示されているIBM Javaセキュリティアラートのページを参照してください。（CVE-2016-2183、CVE-2017-3272、CVE-2017-3289、CVE-2017-3253、CVE-2017-3261、CVE-2017-3231、CVE-2016-5547、CVE-2016-5552、CVE-2017-3252、CVE-2016-5546、CVE-2016-5548、CVE-2016-5549、CVE-2017-3241、CVE-2017-3259、CVE-2016-5573、CVE-2016-5554、CVE-2016-5542、CVE-2016-5597、CVE-2016-5556、CVE-2016-3598、CVE-2016-3511、CVE-2016-0363、CVE-2016-0686、CVE-2016-0687、CVE-2016-3426、CVE-2016-3427、CVE-2016-3443、CVE-2016-3449、CVE-2016-3422、CVE-2016-0376、CVE-2016-0264）

java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 5、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* 特定の状況で、OpenJDKのHotspotコンポーネントがSystem.arraycopy()関数の引数を適切にチェックしないことがわかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、仮想マシンのメモリを破損し、Javaサンドボックスの制限を完全にバイパスする可能性があります。（CVE-2016-5582）* OpenJDKのHotspotコンポーネントが、受信したJDWP（Java Debug Wire Protocol）パケットを適切にチェックしないことがわかりました。攻撃者はこの欠陥を利用して、デバッグされたアプリケーションのJDWPポートに被害者のブラウザーからHTTP要求を送信することに成功した場合、デバッグを有効にして実行中のJavaプログラムにデバッグコマンドを送信する可能性があります。（CVE-2016-5573）* OpenJDKのライブラリコンポーネントが、Jarの整合性検証に使用される一連のアルゴリズムを制限しないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。（CVE-2016-5542）注意：この更新後、MD2ハッシュアルゴリズムと1024ビット未満のRSAキーは、デフォルトでJarの整合性検証に使用できなくなります。MD5ハッシュアルゴリズムは、今後の更新によりデフォルトで無効化される予定です。新しく導入されたセキュリティプロパティのjdk.jar.disabledAlgorithmsが無効化されたアルゴリズムのセットの制御に使用される可能性があります。* OpenJDKのJMXコンポーネントがクラスローダーを処理する方法に、欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2016-5554）* OpenJDKのNetworkingコンポーネントがHTTPプロキシ認証を処理する方法に欠陥が見つかりました。プロキシが認証を求めた場合、JavaアプリケーションはHTTPプロキシへのプレーンテキストネットワーク接続を介してHTTPSサーバー認証の資格情報を公開する可能性があります。（CVE-2016-5597）注意：この更新後、HTTPプロキシ経由でHTTPS接続をトンネリングするときに、基本HTTPプロキシ認証を使用できなくなります。新しく導入されたシステムプロパティjdk.http.auth.proxying.disabledSchemesおよびjdk.http.auth.tunneling.disabledSchemesを使用して、それぞれのHTTPプロキシおよびHTTPS接続をプロキシするときにHTTPプロキシがリクエストできる認証スキームを制御できます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
95629	Ubuntu 12.04 LTS：openjdk-6の脆弱性（USN-3154-1）	Nessus	Ubuntu Local Security Checks	2016/12/8	2026/1/15	critical
100094	RHEL 6：java-1.7.1-ibm（RHSA-2017:1216）	Nessus	Red Hat Local Security Checks	2017/5/10	2025/12/19	critical
94740	CentOS 5/6/7：java-1.7.0-openjdk（CESA-2016:2658）	Nessus	CentOS Local Security Checks	2016/11/14	2021/1/4	critical

検出

プラグインの検索

critical

critical

critical