出典：Red Hat Security Advisory 2019：1817：java-11-openjdkの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-11-openjdkパッケージには、OpenJDK 11 Java Runtime EnvironmentおよびOpenJDK 11 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：楕円曲線（EC）暗号化におけるサイドチャネル攻撃のリスク（Security、8208698）（CVE-2019-2745）* OpenJDK：逆シリアル化において抑制された例外に対する不十分なチェック（Utilities、8212328）（CVE-2019-2762）* OpenJDK：コレクションにおける逆シリアル化中の際限のないメモリ割り当て（Utilities、8213432）（CVE-2019-2769）* OpenJDK：URL形式の検証の欠如（Networking、8221518）（CVE-2019-2816）* OpenJDK：TLSハンドシェイク中の証明書ステータスメッセージの不適切な処理（JSSE、8222678）（CVE-2019-2821）* OpenJDK：AccessControllerにおける権限に対する不十分な制限（Security、8216381）（CVE-2019-2786）* OpenJDK：ChaCha20Cipherにおける一定しない時間比較（Security、8221344）（CVE-2019-2818）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ユーティリティ）。サポートされているバージョンで影響を受けるのは、Java SE：7u221、8u212、11.0.3、12.0.1、Java SE Embedded：8u211です。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア5.3（可用性に影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2769）Oracle Java SEのJava SE、Java SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ネットワーキング）。サポートされているバージョンで影響を受けるのは、Java SE：7u221、8u212、11.0.3、12.0.1、Java SE Embedded：8u211です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedがアクセスできる一部のデータが権限なしで更新、挿入または削除され、Java SE、Java SE Embeddedがアクセスできるデータのサブセットへの権限のない読み取りアクセスが可能になります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア4.8（機密性と整合性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N）。（CVE-2019-2816）Oracle Java SEのJava SEコンポーネントの脆弱性（サブコンポーネント：セキュリティ）。サポートされているバージョンで影響を受けるのは、Java SE：7u221、8u212、11.0.3です。悪用が難しい脆弱性ですが、Java SEが実行されているインフラストラクチャにログオンしている認証されていない攻撃者が、Java SEを侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SEがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア5.1（機密性に影響）。CVSSベクトル：（CVSS:3.0/AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N）。（CVE-2019-2745）Oracle Java SEのJava SEコンポーネントの脆弱性（サブコンポーネント：JCE）。サポートされているバージョンで影響を受けるのは、Java SE：8u212です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SEの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2842）Oracle Java SEのJava SE、Java SE Embeddedコンポーネントの脆弱性（サブコンポーネント：セキュリティ）。サポートされているバージョンで影響を受けるのは、Java SE：8u212、11.0.3、12.0.1、Java SE Embedded：8u211です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedaがアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア3.4（機密性に影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N）。（CVE-2019-2786）Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ユーティリティ）。サポートされているバージョンで影響を受けるのは、Java SE：7u221、8u212、11.0.3、12.0.1、Java SE Embedded：8u211です。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア5.3（可用性に影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2762）

リモートホストにインストールされている Amazon Corretto のバージョンは、8 < 8.222.10.1より前です。したがって、corretto-8-2019-Jul-16 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Security (CVE-2019-2745, CVE-2019-2786)

  - Utilities (CVE-2019-2762, CVE-2019-2769)

  - Networking (CVE-2019-2766, CVE-2019-2816)

  - JCE (CVE-2019-2842)

  - AWT (libpng) (CVE-2019-7317)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

java-1_7_1-ibm用のこの更新プログラムでは、以下の問題が修正されています：

Java 7.1 Service Refresh 4 Fix Pack 50に更新してください。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-11771：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-11775：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-4473：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-7317：コンポーネントAWT（libpng）内の問題を修正しました（bsc#1141780）。

CVE-2019-2769：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141783）。

CVE-2019-2762：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141782）。

CVE-2019-2816：コンポーネントネットワーク内の問題を修正します（bsc#1141785）。

CVE-2019-2766：コンポーネントネットワーク内の問題を修正します（bsc#1141789）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

java-1.8.0-ibmの更新プログラムが、Red Hat Satellite 5.8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8をバージョン 8 SR5-FP40にアップグレードします。セキュリティ修正プログラム：* IBM JDK：String.getBytesメソッドの領域外アクセス（CVE-2019-11772）* IBM JDK：バージョン管理によってループから引き出された値のプライベート化の失敗（CVE-2019-11775）* OpenJDK：逆シリアル化で非表示にされた例外の不十分なチェック（Utilities、8212328）（CVE-2019-2762）* OpenJDK：Collectionsで逆シリアル化中の無制限のメモリ割り当て（Utilities、8213432）（CVE-2019-2769）* OpenJDK：URL形式検証の欠落（Networking、8221518）（CVE-2019-2816）*OpenJDK：AccessControllerの権限の不十分な制限（Security、8216381）（CVE-2019-2786）* libpng：png.cのpng_image_freeにおけるメモリ解放後使用（CVE-2019-7317）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1_8_0-ibm用のこの更新プログラムでは、以下の問題が修正されています：

Java 8.0 Service Refresh 5 Fix Pack 40に更新してください。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-11771：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-11772：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-11775：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-4473：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-7317：コンポーネントAWT（libpng）内の問題を修正しました（bsc#1141780）。

CVE-2019-2769：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141783）。

CVE-2019-2762：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141782）。

CVE-2019-2816：コンポーネントネットワーク内の問題を修正します（bsc#1141785）。

CVE-2019-2766：コンポーネントネットワーク内の問題を修正します（bsc#1141789）。

CVE-2019-2786：コンポーネントセキュリティ内の問題を修正します（bsc#1141787）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

java-1_7_0-openjdkをバージョン7u231にするこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

CVE_2019-2426：Webサーバー接続を改善します（bsc#1134297）。

CVE-2019-2745：ECC実装を向上します（bsc#1141784）。

CVE-2019-2762：例外的なスローケース（bsc#1141782）。

CVE-2019-2766：ファイルプロトコルの処理を改善します（bsc#1141789）。

CVE-2019-2769：CopiesListのよりよいコピー（bsc#1141783）。

CVE-2019-2786：より限定的な権限の使用（bsc#1141787）。

CVE-2019-2816：正規化を正規化します（bsc#1141785）。

CVE-2019-2842：拡張AESサポート（bsc#1141786）。

CVE-2019-7317：PNGサポートを改善します（bsc#1141780）。

CVE-2018-3639：PR_SPEC_DISABLEよりもPR_SPEC_DISABLE_NOEXECを選択するように改訂版を修正しました（bsc#1087082）。

証明書検証の改善

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
127602	Oracle Linux 8：java-11-openjdk（ELSA-2019-1817）	Nessus	Oracle Linux Local Security Checks	2019/8/12	2025/2/24	medium
128292	Amazon Linux AMI：java-1.8.0-openjdk（ALAS-2019-1269）	Nessus	Amazon Linux Local Security Checks	2019/8/28	2024/5/1	medium
159424	Amazon Corretto Java 8.x< 8.222.10.1複数の脆弱性	Nessus	Misc.	2022/4/1	2023/11/3	medium
128628	SUSE SLES12セキュリティ更新プログラム：java-1_7_1-ibm（SUSE-SU-2019:2336-1）	Nessus	SuSE Local Security Checks	2019/9/10	2024/4/26	high
128858	RHEL 6：java-1.8.0-ibm（RHSA-2019:2737）	Nessus	Red Hat Local Security Checks	2019/9/16	2024/11/6	critical
128872	SUSE SLES12セキュリティ更新プログラム：java-1_8_0-ibm（SUSE-SU-2019:2371-1）	Nessus	SuSE Local Security Checks	2019/9/16	2024/4/25	critical
127758	SUSE SLED12 / SLES12セキュリティ更新プログラム：java-1_7_0-openjdk（SUSE-SU-2019:2028-1）（Spectre）	Nessus	SuSE Local Security Checks	2019/8/12	2022/12/6	medium

検出

プラグインの検索

medium

medium

medium

high

critical

critical

medium