java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：楕円曲線（EC）暗号化におけるサイドチャネル攻撃のリスク（Security、8208698）（CVE-2019-2745）* OpenJDK：逆シリアル化において抑制された例外に対する不十分なチェック（Utilities、8212328）（CVE-2019-2762）* OpenJDK：コレクションにおける逆シリアル化中の際限のないメモリ割り当て（ユーティリティ、8213432）（CVE-2019-2769）* OpenJDK：URL形式の検証の欠如（Networking、8221518）（CVE-2019-2816）* OpenJDK：暗号化プロバイダーにおける配列の境界チェックの欠如（JCE、8223511）（CVE-2019-2842）* OpenJDK：AccessControllerにおける権限に対する不十分な制限（Security、8216381）（CVE-2019-2786）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

出典：Red Hatセキュリティアドバイザリ2019:1840：java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：楕円曲線（EC）暗号化におけるサイドチャネル攻撃のリスク（Security、8208698）（CVE-2019-2745）* OpenJDK：逆シリアル化において抑制された例外に対する不十分なチェック（Utilities、8212328）（CVE-2019-2762）* OpenJDK：コレクションにおける逆シリアル化中の際限のないメモリ割り当て（ユーティリティ、8213432）（CVE-2019-2769）* OpenJDK：URL形式の検証の欠如（Networking、8221518）（CVE-2019-2816）* OpenJDK：暗号化プロバイダーにおける配列の境界チェックの欠如（JCE、8223511）（CVE-2019-2842）* OpenJDK：AccessControllerにおける権限に対する不十分な制限（Security、8216381）（CVE-2019-2786）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Keegan Ryan氏は、OpenJDKのECC実装が、サイドチャンネル攻撃に対して十分な回復力を備えていないことを発見しました。攻撃者がこれを利用して、秘密情報を漏えいさせる可能性があります。(CVE-2019-2745) 

抑制された例外を逆シリアル化する前に、OpenJDKがシリアルストリームを十分に検証しない場合があることがわかりました。
攻撃者がこれを悪用して、逆シリアル化されるとサービス拒否を引き起こすように特別に細工したオブジェクトを作成する可能性があります。(CVE-2019-2762) 

OpenJDKがオブジェクトの逆シリアル化中に割り当てられたメモリ量を適切にバインドしない場合があることがわかりました。攻撃者がこれを悪用して、逆シリアル化されるとサービス拒否 (過剰なメモリ消費) を引き起こすように特別に細工したオブジェクトを作成する可能性があります。(CVE-2019-2769) 

OpenJDKでは、権限が適切に制限されない場合があることがわかりました。攻撃者がこれを悪用して、信頼できないJavaアプリケーションやアプレットを特別に構築し、サンドボックスの制限を回避する可能性があります。(CVE-2019-2786) 

Jonathan Birch氏は、OpenJDKのNetworkingコンポーネントがURLを適切に検証しない場合があることを発見しました。攻撃者がこれを悪用して、URLの文字の制限をバイパスする可能性があります。(CVE-2019-2816) 

Nati Nimni氏は、OpenJDKのJava Cryptography Extensionコンポーネントが配列境界チェックを適切に実行しない場合があることを発見しました。攻撃者がこれを悪用して、サービス拒否を引き起こす可能性があります。
(CVE-2019-2842)

OpenJDKが特定のメモリ操作を不適切に処理することがわかりました。ユーザーまたは自動化システムが誘導されて特別に細工されたPNGファイルを開くと、リモートの攻撃者がこの問題を悪用し、OpenJDKをクラッシュさせ、サービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。(CVE-2019-7317)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2019: 1816アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - OpenJDK：楕円曲線（EC）暗号化におけるサイドチャネル攻撃のリスク（セキュリティ、8208698）（CVE-2019-2745）

  - OpenJDK：逆シリアル化において抑制された例外に対する不十分なチェック（ユーティリティ、8212328）（CVE-2019-2762）

  - OpenJDK：Collectionsで逆シリアル化中の無制限のメモリ割り当て（ユーティリティ、8213432）（CVE-2019-2769）

  - OpenJDK：AccessControllerの権限の不十分な制限（セキュリティ、8216381）（CVE-2019-2786）

  - OpenJDK：URL形式の検証の欠如（ネットワーキング、8221518）（CVE-2019-2816）

  - OpenJDK：暗号化プロバイダーにおける配列の境界チェックの欠如（JCE、8223511）（CVE-2019-2842）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

バージョン8u222へのこのjava-1_8_0-openjdkの更新では、次の問題を修正しています：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-2745：ECC実装を向上します（bsc#1141784）。

CVE-2019-2762：例外的なスローケース（bsc#1141782）。

CVE-2019-2766：ファイルプロトコルの処理を改善します（bsc#1141789）。

CVE-2019-2769：CopiesListのよりよいコピー（bsc#1141783）。

CVE-2019-2786：より限定的な権限の使用（bsc#1141787）。

CVE-2019-2816：正規化を正規化します（bsc#1141785）。

CVE-2019-2842：拡張AESサポート（bsc#1141786）。

CVE-2019-7317：PNGサポートを改善します（bsc#1141780）。

証明書検証の改善

修正された非セキュリティ問題：manページが存在しない場合にインストールに失敗した問題を修正しました（bsc#1115375）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

java-1.7.1-ibmの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン7リリース1には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 7がバージョン7R1 SR4-FP50にアップグレードされます。セキュリティ修正プログラム：* IBM JDK：バージョン管理によってループから引き出された値のプライベート化の失敗（CVE-2019-11775）* OpenJDK：逆シリアル化で非表示にされた例外の不十分なチェック（Utilities、8212328）（CVE-2019-2762）* OpenJDK：Collectionsで逆シリアル化中の無制限のメモリ割り当て（Utilities、8213432）（CVE-2019-2769）* OpenJDK：URL形式検証の欠落（Networking、8221518）（CVE-2019-2816）* libpng：png.cのpng_image_freeにおけるメモリ解放後使用（CVE-2019-7317）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1.8.0-ibmの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8をバージョン 8 SR5-FP40にアップグレードします。セキュリティ修正プログラム：* IBM JDK：String.getBytesメソッドの領域外アクセス（CVE-2019-11772）* IBM JDK：バージョン管理によってループから引き出された値のプライベート化の失敗（CVE-2019-11775）* OpenJDK：逆シリアル化で非表示にされた例外の不十分なチェック（Utilities、8212328）（CVE-2019-2762）* OpenJDK：Collectionsで逆シリアル化中の無制限のメモリ割り当て（Utilities、8213432）（CVE-2019-2769）* OpenJDK：URL形式検証の欠落（Networking、8221518）（CVE-2019-2816）*OpenJDK：AccessControllerの権限の不十分な制限（Security、8216381）（CVE-2019-2786）* libpng：png.cのpng_image_freeにおけるメモリ解放後使用（CVE-2019-7317）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
126993	CentOS 6：java-1.7.0-openjdk（CESA-2019:1840）	Nessus	CentOS Local Security Checks	2019/7/25	2022/5/19	medium
127031	Oracle Linux 6：java-1.7.0-openjdk（ELSA-2019-1840）	Nessus	Oracle Linux Local Security Checks	2019/7/25	2024/10/22	medium
127797	Ubuntu 16.04 LTS : OpenJDK 8 の脆弱性 (USN-4080-1)	Nessus	Ubuntu Local Security Checks	2019/8/12	2024/8/27	medium
145650	CentOS 8：java-1.8.0-openjdk（CESA-2019：1816）	Nessus	CentOS Local Security Checks	2021/1/29	2022/5/11	medium
127762	SUSE SLED12 / SLES12セキュリティ更新プログラム：java-1_8_0-openjdk（SUSE-SU-2019:2036-1）	Nessus	SuSE Local Security Checks	2019/8/12	2024/5/6	medium
127987	RHEL 6：java-1.7.1-ibm（RHSA-2019:2494）	Nessus	Red Hat Local Security Checks	2019/8/20	2024/11/6	high
128449	RHEL 8：java-1.8.0-ibm（RHSA-2019:2590）	Nessus	Red Hat Local Security Checks	2019/9/3	2024/11/6	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

high

critical