セキュリティ修正プログラム:

  - OpenJDK：不適切なフィールドアクセスチェック（ホットスポット、8199226）（CVE-2018-3169）

  - OpenJDK：trustURLCodebase制限の不完全な実施（JNDI、8199177）（CVE-2018-3149）

  - OpenJDK：署名付きJarマニフェストの署名されていない属性の不適切な処理（セキュリティ、8194534）（CVE-2018-3136）

  - OpenJDK：HTTPリダイレクトによる秘密ヘッダーデータの漏洩（ネットワーキング、8196902）（CVE-2018-3139）

  - OpenJDK：TLSセッション再開時のエンドポイント識別アルゴリズムチェックの欠落（JSSE、8202613）（CVE-2018-3180）

  - OpenJDK：RIFF形式のリーダーでの無限ループ（Sound、8205361）（CVE-2018-3214）

java-1_7_1-ibmがJava 7.1 Service Refresh 4 Fix Pack 35に更新しました（bsc#1116574）：

消費性

  - IJ10515 AIX JAVA 7.1.3.10 HEALTH CENTER APIクラスライブラリの使用を試みた場合の一般保護違反

  - IJ10934 CVE-2018-13785

  - IJ10935 CVE-2018-3136

  - IJ10895 CVE-2018-3139

  - IJ10932 CVE-2018-3149

  - IJ10894 CVE-2018-3180

  - IJ10933 CVE-2018-3214

  - IJ09315 JAVA.TEXT.DECIMALFORMATからの浮動小数点の例外。フォーマット

  - IJ09088 TRTを特定しない製品向けのトルコのタイムゾーンに導入される新しいプロパティ

  - IJ08569 AIX PLATFORMでFILECHANNELが2GBを超える場合にJAVA.IO.IOEXCEPTIONが発生します

  - IJ10800IBM JDKÃ¢Â€Â™S CACERTの期限が切れそうなルート証明書を削除します。
    Java仮想マシン

  - IJ10931 CVE-2018-3169

  - IV91132 一部のコアパターンの仕様が、Linux JITコンパイラーのJVMに制御されません

  - IJ08205 コンパイル中のクラッシュ

  - IJ07886 NUMBERFORMAT.FORMAT()およびBIGDECIMAL.{FLOAT/DOUBLE}VALUE()ORBを使用する場合の間違った計算

  - IX90187 CLIENTREQUESTIMPL.REINVO KEがJAVA.LANG.INDEXOUTOFBOUN DSEXCEPTIONセキュリティで失敗します

  - IJ10492 「EC KEYSIZE z/OSの拡張機能

  - PH01244 IBMJCEHYBRIDを使用するGCMモード暗号化用の出力バッファが短すぎます

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントの脆弱性（サブコンポーネント：JSSE）。影響を受けるサポート対象のバージョンはJava SE：6u201、7u191、8u182、11。Java SE Embedded：8u181。JRockit：R28.3.19。悪用が難しい脆弱性ですが、認証されていない攻撃者がSSL/TLSを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。この脆弱性を悪用した攻撃が成功すると、一部のJava SE、Java SE Embedded、JRockitのアクセス可能データに対して、権限なく更新、挿入、削除する、Java SE、Java SE Embedded、JRockitのアクセス可能データのサブセットに対して権限なく読み取りアクセスする、Java SE、Java SE Embedded、JRockitの部分的サービス拒否（部分的DOS）を権限なく引き起こすなどの可能性があります。注意：この脆弱性が該当するのは、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア5.6（機密性、整合性、可用性の影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L）。（CVE-2018-3180）Oracle Java SEのJava SE、Java SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ネットワーキング）。影響を受けるサポート対象のバージョンはJava SE：6u201、7u191、8u182、11。Java SE Embedded：8u181。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedaがアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注意：この脆弱性が該当するのは、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア3.1（機密性に影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N）（CVE-2018-3139）Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントの脆弱性（サブコンポーネント：音）影響を受けるサポート対象のバージョンはJava SE：6u201、7u191、8u182、Java SE Embedded：8u181、JRockit：R28.3.19です。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockitの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア5.3（可用性に影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）（CVE-2018-3214）Oracle Java SEのJava SE、Java SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ホットスポット）影響を受けるサポート対象のバージョンはJava SE：7u191、8u182、11、Java SE Embedded：8u181です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SEおよびJava SE Embeddedの乗っ取りが発生する可能性があります。注意：この脆弱性が該当するのは、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア8.3（機密性、整合性、可用性の影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H）。（CVE-2018-3169）Oracle Java SEのJava SE、Java SE Embeddedコンポーネントの脆弱性（サブコンポーネント：セキュリティ）。影響を受けるサポート対象のバージョンはJava SE：6u201、7u191、8u182、11。Java SE Embedded：8u181。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedがアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注意：この脆弱性が該当するのは、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア3.4（整合性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:N）。（CVE-2018-3136）Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントの脆弱性（サブコンポーネント：JNDI）。影響を受けるサポート対象のバージョンはJava SE：6u201、7u191、8u182、11。Java SE Embedded：8u181。JRockit：R28.3.19。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embedded、JRockitですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性への攻撃が成功すると、Java SE、Java SE Embedded、JRockitの乗っ取りが発生する可能性があります。注意：この脆弱性が該当するのは、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア8.3（機密性、整合性、可用性の影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H）。（CVE-2018-3136）コードベースの制限（JNDI、8199177

リモートホストにインストールされている IBM Java のバージョンは、6.0 < 6.0.16.75 / 6.1 < 6.1.8.75 / 7.0 < 7.0.10.35 / 7.1 < 7.1.4.35 / 8.0 < 8.0.5.25 より前です。したがって、Oracle の 2018 年 10 月 16 日の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：セキュリティ）。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、8u182 および 11。Java SE Embedded :  8u181。
    悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注:
    この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど ) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-3136)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ネットワーキング）。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、8u182 および 11。Java SE Embedded :  8u181。
    悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど ) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-3139)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:  JNDI)。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、8u182 および 11。Java SE Embedded :  8u181。
    JRockit：R28.3.19。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのは Java SE、Java SE Embedded、JRockit ですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性への攻撃が成功すると、Java SE、Java SE Embedded、JRockit の乗っ取りが発生する可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、たとえば API にデータを提供する Web サービスを通して、指定されたコンポーネント内の API を使用することによって悪用される可能性もあります。
    (CVE-2018-3149)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ホットスポット )。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u191、8u182 および 11。Java SE Embedded :  8u181。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SEおよびJava SE Embeddedの乗っ取りが発生する可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど ) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-3169)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:  JSSE)。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、8u182 および 11。Java SE Embedded :  8u181。
    JRockit：R28.3.19。悪用が難しい脆弱性ですが、認証されていない攻撃者がSSL/TLSを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性を悪用した攻撃が成功すると、一部のJava SE、Java SE Embedded、JRockit のアクセス可能データに対して、権限なく更新、挿入、削除する、Java SE、Java SE Embedded、JRockit のアクセス可能データのサブセットに対して権限なく読み取りアクセスする、Java SE、Java SE Embedded、JRockit の部分的サービス拒否（部分的 DOS）を権限なく引き起こすなどの可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2018-3180)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント: 
    スクリプティング）。サポートされているバージョンで影響を受けるのは、Java SE: 8u182 および 11。Java SE Embedded :  8u181。
    JRockit：R28.3.19。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性はJava SE、Java SE Embedded、JRockitにありますが、攻撃によってほかの製品にも大きな影響が出る可能性があります。この脆弱性への攻撃が成功すると、Java SE、Java SE Embedded、JRockit の乗っ取りが発生する可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2018-3183)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:  Sound)。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、および 8u182。Java SE Embedded :  8u181。
    JRockit：R28.3.19。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockit の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注: この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについては Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2018-3214)

  - libpng 1.6.34 では、png_check_chunk_length 関数 (pngrutil.c) の row_factor の誤った計算により、細工された PNG ファイルの処理中に整数オーバーフローおよびゼロ除算がトリガーされ、サービス拒否が発生する可能性があります。(CVE-2018-13785)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119186	Scientific Linux セキュリティ更新: SL7.x x86_64のjava-1.7.0-openjdk（20181030）	Nessus	Scientific Linux Local Security Checks	2018/11/27	2022/5/31	high
119285	SUSE SLES12セキュリティ更新プログラム：java-1_7_1-ibm（SUSE-SU-2018:3933-1）	Nessus	SuSE Local Security Checks	2018/11/29	2022/5/31	high
119470	Amazon Linux AMI：java-1.7.0-openjdk（ALAS-2018-1111）	Nessus	Amazon Linux Local Security Checks	2018/12/7	2022/5/31	high
160371	IBM Java 6.0 < 6.0.16.75 / 6.1 < 6.1.8.75 / 7.0 < 7.0.10.35 / 7.1 < 7.1.4.35 / 8.0 < 8.0.5.25 の複数の脆弱性	Nessus	Misc.	2022/4/29	2022/4/29	critical

検出

プラグインの検索

high

high

high

critical