This update for java-1_7_0-openjdk fixes the following issues:
Security issues fixed :

  - CVE-2017-10356: Fix issue inside subcomponent Security     (bsc#1064084).

  - CVE-2017-10274: Fix issue inside subcomponent Smart Card     IO (bsc#1064071).

  - CVE-2017-10281: Fix issue inside subcomponent     Serialization (bsc#1064072).

  - CVE-2017-10285: Fix issue inside subcomponent RMI     (bsc#1064073).

  - CVE-2017-10295: Fix issue inside subcomponent Networking     (bsc#1064075).

  - CVE-2017-10388: Fix issue inside subcomponent Libraries     (bsc#1064086).

  - CVE-2017-10346: Fix issue inside subcomponent Hotspot     (bsc#1064078).

  - CVE-2017-10350: Fix issue inside subcomponent JAX-WS     (bsc#1064082).

  - CVE-2017-10347: Fix issue inside subcomponent     Serialization (bsc#1064079).

  - CVE-2017-10349: Fix issue inside subcomponent JAXP     (bsc#1064081).

  - CVE-2017-10345: Fix issue inside subcomponent     Serialization (bsc#1064077).

  - CVE-2017-10348: Fix issue inside subcomponent Libraries     (bsc#1064080).

  - CVE-2017-10357: Fix issue inside subcomponent     Serialization (bsc#1064085).

  - CVE-2017-10355: Fix issue inside subcomponent Networking     (bsc#1064083).

  - CVE-2017-10102: Fix incorrect handling of references in     DGC (bsc#1049316).

  - CVE-2017-10053: Fix reading of unprocessed image data in     JPEGImageReader (bsc#1049305).

  - CVE-2017-10067: Fix JAR verifier incorrect handling of     missing digest (bsc#1049306).

  - CVE-2017-10081: Fix incorrect bracket processing in     function signature handling (bsc#1049309).

  - CVE-2017-10087: Fix insufficient access control checks     in ThreadPoolExecutor (bsc#1049311).

  - CVE-2017-10089: Fix insufficient access control checks     in ServiceRegistry (bsc#1049312).

  - CVE-2017-10090: Fix insufficient access control checks     in AsynchronousChannelGroupImpl (bsc#1049313).

  - CVE-2017-10096: Fix insufficient access control checks     in XML transformations (bsc#1049314).

  - CVE-2017-10101: Fix unrestricted access to     com.sun.org.apache.xml.internal.resolver (bsc#1049315).

  - CVE-2017-10107: Fix insufficient access control checks     in ActivationID (bsc#1049318).

  - CVE-2017-10074: Fix integer overflows in range check     loop predicates (bsc#1049307).

  - CVE-2017-10110: Fix insufficient access control checks     in ImageWatched (bsc#1049321).

  - CVE-2017-10108: Fix unbounded memory allocation in     BasicAttribute deserialization (bsc#1049319).

  - CVE-2017-10109: Fix unbounded memory allocation in     CodeSource deserialization (bsc#1049320).

  - CVE-2017-10115: Fix unspecified vulnerability in     subcomponent JCE (bsc#1049324).

  - CVE-2017-10118: Fix ECDSA implementation timing attack     (bsc#1049326).

  - CVE-2017-10116: Fix LDAPCertStore following referrals to     non-LDAP URL (bsc#1049325).

  - CVE-2017-10135: Fix PKCS#8 implementation timing attack     (bsc#1049328).

  - CVE-2017-10176: Fix incorrect handling of certain EC     points (bsc#1049329).

  - CVE-2017-10074: Fix integer overflows in range check     loop predicates (bsc#1049307).

  - CVE-2017-10074: Fix integer overflows in range check     loop predicates (bsc#1049307).

  - CVE-2017-10111: Fix checks in LambdaFormEditor     (bsc#1049322).

  - CVE-2017-10243: Fix unspecified vulnerability in     subcomponent JAX-WS (bsc#1049332).

  - CVE-2017-10125: Fix unspecified vulnerability in     subcomponent deployment (bsc#1049327).

  - CVE-2017-10114: Fix unspecified vulnerability in     subcomponent JavaFX (bsc#1049323).

  - CVE-2017-10105: Fix unspecified vulnerability in     subcomponent deployment (bsc#1049317).

  - CVE-2017-10086: Fix unspecified in subcomponent JavaFX     (bsc#1049310).

  - CVE-2017-10198: Fix incorrect enforcement of certificate     path restrictions (bsc#1049331).

  - CVE-2017-10193: Fix incorrect key size constraint check     (bsc#1049330). Bug fixes :

  - Drop Exec Shield workaround to fix crashes on recent     kernels, where Exec Shield is gone (bsc#1052318).

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Oracle Javaプラットフォームの実装であるOpenJDKで複数の脆弱性が発見され、サンドボックスバイパス、安全ではない暗号化の使用、サイドチャネル攻撃、情報漏洩、任意コード実行、サービス拒否、Jar検証のバイパスが発生する可能性があります。

OpenJDKのJPEGImageReaderクラスが未使用のイメージデータを不適切に読み込むことがわかりました。攻撃者はこれを悪用して、jpeg イメージファイルを特別に構築し、Java アプリケーションによって開かれたときにサービス拒否を引き起こす可能性があります。(CVE-2017-10053)

OpenJDKのJARベリファイアが、ダイジェストがないファイルを含むアーカイブを適切に処理しないことがわかりました。攻撃者はこれを利用して、JAR ファイルの署名付きコンテンツを変更する可能性があります。(CVE-2017-10067)

Range Check Loop 述部を生成するときに、整数オーバーフローが OpenJDK の Hotspot コンポーネントにあることがわかりました。攻撃者はこれを利用して、サンドボックスの制限を回避できる信頼できないJavaアプリケーションやアプレットを特別に構築し、サービス拒否や任意のコードの実行を引き起こす可能性があります。
(CVE-2017-10074)

OpenJDKのJavaScriptスクリプトコンポーネントがJava APIへのアクセスを不適切に許可していることがわかりました。攻撃者はこれを利用して、JavaScriptコードに特別な細工を加え、アクセス制限をバイパスする可能性があります。
(CVE-2017-10078)

OpenJDKが関数シグネチャのカッコを適切に処理しないことがわかりました。攻撃者がこれを悪用して、信頼できないJavaアプリケーションやアプレットを特別に構築し、サンドボックスの制限を回避する可能性があります。(CVE-2017-10081) 

スレッドをクリーンアップするときに、OpenJDKのThreadPoolExecutorクラスがアクセス制御チェックを適切に実行しないことがわかりました。攻撃者はこれを悪用して、サンドボックスの制限を回避できる信頼できない Java アプリケーションやアプレットを特別に構築し、任意のコードを実行する可能性があります。(CVE-2017-10087)

OpenJDKのServiceRegistryの実装が、特定の状況でアクセス制御チェックを実行しないことがわかりました。攻撃者はこれを利用して、信頼できないJavaアプリケーションやアプレットを特別に構築し、サンドボックスの制限を回避する可能性があります。
(CVE-2017-10089)

OpenJDKでのチャンネルグループの実装が、状況によってアクセス制御チェックを適切に実行しないことがわかりました。攻撃者がこれを悪用して、信頼できないJavaアプリケーションやアプレットを特別に構築し、サンドボックスの制限を回避する可能性があります。
(CVE-2017-10090)

OpenJDKのJAXPコンポーネントのDTM例外処理コードが、アクセス制御チェックを適切に実行しないことがわかりました。
攻撃者がこれを悪用して、信頼できないJavaアプリケーションやアプレットを特別に構築し、サンドボックスの制限を回避する可能性があります。
(CVE-2017-10096)

OpenJDKのJAXPコンポーネントが、一部の内部リゾルバへのアクセスを不適切に許可することがわかりました。攻撃者がこれを悪用して、信頼できないJavaアプリケーションやアプレットを特別に構築し、サンドボックスの制限を回避する可能性があります。(CVE-2017-10101) 

OpenJDKの分散ガベージコレクタ (DGC) が、状況によっては参照を適切に追跡しないことがわかりました。リモートの攻撃者がこれを利用して、任意のコードを実行する可能性があります。
(CVE-2017-10102)

OpenJDKのRMIコンポーネントのアクティベーションIDの実装が、状況によってはアクセス制御のアクセス許可を適切に確認しないことがわかりました。攻撃者がこれを悪用して、信頼できないJavaアプリケーションやアプレットを特別に構築し、サンドボックスの制限を回避する可能性があります。(CVE-2017-10107) 

OpenJDKのBasicAttributeクラスが、オブジェクトをデシリアライズするときに、メモリ割り当てを正しく返さないことがわかりました。攻撃者がこれを悪用して、サービス拒否 (メモリ消費) を引き起こす可能性があります。(CVE-2017-10108)

OpenJDKのCodeSourceクラスが、オブジェクトインスタンスをデシリアライズするときに、メモリ割り当てを正しく返さないことがわかりました。攻撃者がこれを悪用して、サービス拒否 (メモリ消費) を引き起こす可能性があります。(CVE-2017-10109)

OpenJDK の AWT ImageWatched クラスが、アクセス制御チェックを適切に実行しないことがわかりました。攻撃者がこれを利用して信頼できない Java アプリケーションまたはアプレットを特別に構築し、サンドボックス制限を回避する可能性があります。(CVE-2017-10110)

Jackson Davis 氏は、OpenJDK の Libraries コンポーネントの LambdaFormEditor クラスが permuteArgumentsForm() 関数の境界チェックを正しく実行しないことを発見しました。攻撃者はこれを悪用して、サンドボックスの制限を回避できる信頼できないJavaアプリケーションやアプレットを特別に構築し、任意のコードを実行する可能性があります。
(CVE-2017-10111)

タイミングのサイドチャンネルの脆弱性が、OpenJDKのDSA実装にあることがわかりました。攻撃者がこれを悪用して、秘密情報を漏えいさせる可能性があります。(CVE-2017-10115) 

OpenJDKのLDAP実装で、LDAP以外のURLへの参照が間違っていることがわかりました。攻撃者はこれを利用して、LDAP 参照 URL に特別な細工を加え、秘密情報を漏洩したり、アクセス制限をバイパスしたりする可能性があります。(CVE-2017-10116)

タイミングのサイドチャンネルの脆弱性が、OpenJDKのECDSA実装にあることがわかりました。攻撃者がこれを悪用して、秘密情報を漏えいさせる可能性があります。(CVE-2017-10118) 

Ilya Maykov氏は、タイミングのサイドチャンネルの脆弱性がOpenJDKのPKCS#8実装にあることを発見しました。攻撃者がこれを悪用して、秘密情報を漏えいさせる可能性があります。(CVE-2017-10135) 

OpenJDKの楕円曲線 (EC) 実装が、特定の楕円曲線の点を正しく計算しないことがわかりました。攻撃者がこれを悪用して、秘密情報を漏えいさせる可能性があります。
(CVE-2017-10176)

OpenJDKでは、状況によっては弱いキーサイズが適切に制限されていないことがわかりました。攻撃者がこれを悪用して、信頼できないJavaアプリケーションやアプレットを特別に構築し、サンドボックスの制限を回避する可能性があります。(CVE-2017-10193) 

OpenJDKがX.509証明書チェーンで無効なアルゴリズムの制限を適切に実施しないことがわかりました。攻撃者はこれを利用して、秘密情報を漏洩したり、サンドボックスの制限を回避したりする可能性があります。(CVE-2017-10198)

Webサービス定義言語 (WSDL) XML文書を処理するとき、OpenJDKがアクセス制御チェックを適切に実行しないことがわかりました。攻撃者がこれを悪用して、秘密情報を漏えいさせる可能性があります。
(CVE-2017-10243)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201709-22（Oracle JDK/JRE、IcedTea：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がOracleのJDK、JRE、およびIcedTeaで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、プロセスの権限で任意のコードを実行したり、サービス拒否状態を引き起こしたり、情報へのアクセス権を取得したりする可能性があります。回避策：現時点では、既知の回避策はありません。

java-1_8_0-openjdkをバージョンjdk8u141（icedtea 3.5.0）に更新することにより、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-10053: 画像後処理ステップの改善（bsc#1049305）

  - CVE-2017-10067: 追加のjar検証手順（bsc#1049306）

  - CVE-2017-10074: 画像変換の改善（bsc#1049307）

  - CVE-2017-10078: JavaScriptのスクリプトアクセシビリティの向上（bsc#1049308）

  - CVE-2017-10081: 右括弧の問題（bsc#1049309）

  - CVE-2017-10086: サブコンポーネントJavaFXでの詳細不明な脆弱性（bsc#1049310）

  - CVE-2017-10087: スレッドプール実行の向上（bsc#1049311）

  - CVE-2017-10089: サービス登録ライフサイクル（bsc#1049312）

  - CVE-2017-10090: チャネルグループの処理の向上（bsc#1049313）

  - CVE-2017-10096: 変換トランスフォーマー例外（bsc#1049314）

  - CVE-2017-10101: テキストカタログの読みやすさの向上（bsc#1049315）

  - CVE-2017-10102: ガベージコレクションの改善（bsc#1049316）

  - CVE-2017-10105: サブコンポーネントデプロイメントでの詳細不明な脆弱性（bsc#1049317）

  - CVE-2017-10107: それほどアクティブではないアクティベーション（bsc#1049318）

  - CVE-2017-10108: ネーミング属性の向上（bsc#1049319）

  - CVE-2017-10109: コードソーシングの向上（bsc#1049320）

  - CVE-2017-10110: 画像フェッチの向上（bsc#1049321）

  - CVE-2017-10111: MethodHandle配置の変更（bsc#1049322）

  - CVE-2017-10114: サブコンポーネントJavaFXでの詳細不明な脆弱性（bsc#1049323）

  - CVE-2017-10115: DSA操作の品質向上（bsc#1049324）

  - CVE-2017-10116: 適切なディレクトリ検索処理（bsc#1049325）

  - CVE-2017-10118: ECDSA操作の品質向上（bsc#1049326）

  - CVE-2017-10125: サブコンポーネントデプロイメントでの詳細不明な脆弱性（bsc#1049327）

  - CVE-2017-10135: PKCS8マテリアルの処理の向上（bsc#1049328）

  - CVE-2017-10176: 追加の楕円曲線サポート（bsc#1049329）

  - CVE-2017-10193: アルゴリズム制約実装の改善（bsc#1049330）

  - CVE-2017-10198: 明確な証明書チェーン接続（bsc#1049331）

  - CVE-2017-10243: サブコンポーネントJAX-WSでの詳細不明な脆弱性（bsc#1049332）

バグ修正：

  - レジストリ登録の場所をチェックします

  - 証明書処理の改善

  - JMX診断の改善

  - libpng 1.6.28への更新

  - OpenJDK 8 u141ビルド15のインポート（bsc#1049302）

新機能：

  - PKCS11プロバイダーのSHAハッシュアルゴリズムでのRSAandMGF1の使用をサポートします

この更新はSUSEからインポートされました：SLE-12-SP1: 更新プロジェクトを更新します。

java-1_7_0-openjdk用のこの更新プログラムでは、以下の問題を修正します：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-10356：サブコンポーネントセキュリティ内の問題を修正します（bsc#1064084）。

  - CVE-2017-10274：サブコンポーネントSmart Card IO内の問題を修正します（bsc#1064071）。

  - CVE-2017-10281：サブコンポーネントシリアル化内の問題を修正します（bsc#1064072）。

  - CVE-2017-10285：サブコンポーネントRMI内の問題を修正します（bsc#1064073）。

  - CVE-2017-10295：サブコンポーネントネットワーク内の問題を修正します（bsc#1064075）。

  - CVE-2017-10388：サブコンポーネントライブラリ内の問題を修正します（bsc#1064086）。

  - CVE-2017-10346：サブコンポーネントホットスポット内の問題を修正します（bsc#1064078）。

  - CVE-2017-10350：サブコンポーネントJAX-WS内の問題を修正します（bsc#1064082）。

  - CVE-2017-10347：サブコンポーネントシリアル化内の問題を修正します（bsc#1064079）。

  - CVE-2017-10349：サブコンポーネントJAXP内の問題を修正します（bsc#1064081）。

  - CVE-2017-10345：サブコンポーネントシリアル化内の問題を修正します（bsc#1064077）。

  - CVE-2017-10348：サブコンポーネントライブラリ内の問題を修正します（bsc#1064080）。

  - CVE-2017-10357：サブコンポーネントシリアル化内の問題を修正します（bsc#1064085）。

  - CVE-2017-10355：サブコンポーネントネットワーク内の問題を修正します（bsc#1064083）。

  - CVE-2017-10102：DGCのリファレンスの不適切な処理を修正します（bsc#1049316）。

  - CVE-2017-10053：JPEGImageReaderの未処理画像データの読み取りを修正します（bsc#1049305）。

  - CVE-2017-10067：欠落するダイジェストのJAR検証機能の不適切な処理を修正します（bsc#1049306）。

  - CVE-2017-10081：関数シグネチャ処理での不適切な括弧の処理を修正します（bsc#1049309）。

  - CVE-2017-10087：ThreadPoolExecutorにおける不十分なアクセスコントロールチェックを修正します（bsc#1049311）。

  - CVE-2017-10089：ServiceRegistryにおける不十分なアクセスコントロールチェックを修正します（bsc#1049312）。

  - CVE-2017-10090：AsynchronousChannelGroupImplにおける不十分なアクセスコントロールチェックを修正します（bsc#1049313）。

  - CVE-2017-10096：XML変換における不十分なアクセスコントロールチェックを修正します（bsc#1049314）。

  - CVE-2017-10101：com.sun.org.apache.xml.internal.resolverへの無制限アクセスを修正します（bsc#1049315）。

  - CVE-2017-10107：ActivationIDにおける不十分なアクセスコントロールチェックを修正します（bsc#1049318）。

  - CVE-2017-10074：範囲チェックループ述部における整数オーバーフローを修正します（bsc#1049307）。

  - CVE-2017-10110：ImageWatchedにおける不十分なアクセスコントロールチェックを修正します（bsc#1049321）。

  - CVE-2017-10108：BasicAttributeの逆シリアル化における無制限のメモリ割り当てを修正します（bsc#1049319）。

  - CVE-2017-10109：CodeSourceの逆シリアル化における無制限のメモリ割り当てを修正します（bsc#1049320）。

  - CVE-2017-10115：サブコンポーネントJCEにおける詳細不明な脆弱性を修正します（bsc#1049324）。

  - CVE-2017-10118：ECDSA実装タイミングアタックを修正します（bsc#1049326）。

  - CVE-2017-10116：非LDAP URLへの照会後のLDAPCertStoreを修正します（bsc#1049325）。

  - CVE-2017-10135：PKCS#8実装タイミングアタックを修正します（bsc#1049328）。

  - CVE-2017-10176：特定のECポイントの不適切な処理を修正します（bsc#1049329）。

  - CVE-2017-10074：範囲チェックループ述部における整数オーバーフローを修正します（bsc#1049307）。

  - CVE-2017-10074：範囲チェックループ述部における整数オーバーフローを修正します（bsc#1049307）。

  - CVE-2017-10111：LambdaFormEditorにおけるチェックを修正します（bsc#1049322）。

  - CVE-2017-10243：サブコンポーネントJAX-WSにおける詳細不明な脆弱性を修正します（bsc#1049332）。

  - CVE-2017-10125：サブコンポーネントデプロイメントにおける詳細不明な脆弱性を修正します（bsc#1049327）。

  - CVE-2017-10114：サブコンポーネントJavaFXにおける詳細不明な脆弱性を修正します（bsc#1049323）。

  - CVE-2017-10105：サブコンポーネントデプロイメントにおける詳細不明な脆弱性を修正します（bsc#1049317）。

  - CVE-2017-10086：サブコンポーネントJavaFXにおける詳細不明を修正します（bsc#1049310）。

  - CVE-2017-10198：証明書のパス制限の不適切な施行を修正します（bsc#1049331）。

  - CVE-2017-10193：不適切なキーサイズの制約チェックを修正します（bsc#1049330）。

バグ修正：

  - Exec Shieldが削除された、最近のカーネルでのクラッシュを修正するためExec Shieldの回避策をドロップします（bsc#1052318）。

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

The version of Oracle Java SE installed on the remote host is prior to 6 Update 161, 7 Update 151, or 8 Update 141, and is therefore affected by a flaw that is triggered during object deserialization. This may allow a remote attacker to exhaust available memory and potentially cause a crash. (CVE-2017-10108, CVE-2017-10109)

These versions of Java SE are also affected by multiple vulerabilities in the following components :

 2D (CVE-2017-10053), AWT (CVE-2017-10110), Deployment (CVE-2017-10105), Deployment (CVE-2017-10125), Hotspot (CVE-2017-10074, CVE-2017-10081), ImageIO (CVE-2017-10089), JAX-WS (CVE-2017-10243), JAXP (CVE-2017-10096, CVE-2017-10101), JCE (CVE-2017-10115, CVE-2017-10118, CVE-2017-10135), JavaFX (CVE-2017-10086, CVE-2017-10114), Libraries (CVE-2017-10087, CVE-2017-10090, CVE-2017-10111), RMI (CVE-2017-10102, CVE-2017-10107), Scripting (CVE-2017-10067, CVE-2017-10078), Security (CVE-2017-10116, CVE-2017-10176, CVE-2017-10193, CVE-2017-10198)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
105538	SUSE SLED12 / SLES12 Security Update : java-1_7_0-openjdk (SUSE-SU-2018:0005-1)	Nessus	SuSE Local Security Checks	2018/1/4	2025/11/10	critical
101984	DebianDSA-3919-1：openjdk-8 - セキュリティ更新	Nessus	Debian Local Security Checks	2017/7/27	2021/1/4	critical
102014	Ubuntu 16.04 LTS : OpenJDK 8 の脆弱性 (USN-3366-1)	Nessus	Ubuntu Local Security Checks	2017/7/27	2024/8/27	critical
103450	GLSA-201709-22：Oracle JDK/JRE、IcedTea：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/9/25	2025/11/20	critical
102621	openSUSEセキュリティ更新プログラム：java-1_8_0-openjdk (openSUSE-2017-954)	Nessus	SuSE Local Security Checks	2017/8/21	2025/11/26	critical
105714	openSUSEセキュリティ更新プログラム：java-1_7_0-openjdk（openSUSE-2018-14）	Nessus	SuSE Local Security Checks	2018/1/10	2025/11/6	critical
700165	Oracle Java SE 6 < Update 161 / 7 < Update 151 / 8 < Update 141 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2017/7/26	2019/3/6	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical