OpenJDK Javaランタイムで複数の脆弱性が発見されました。これにより、クロスサイトスクリプティング、サービス拒否、情報漏洩、またはKerberosユーザーなりすましが発生します。

セキュリティ修正プログラム:

  - OpenJDK：Kerberosプロキシ資格情報の不適切な処理（Kerberos、8220302）（CVE-2019-2949）

  - OpenJDK：Nashornでの正規表現処理中にスローされる予期しない例外（スクリプティング、8223518）（CVE-2019-2975）

  - OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（ネットワーキング、8223892）（CVE-2019-2978）

  - OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーキング、8225298）（CVE-2019-2989）

  - OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーキング、8218573）（CVE-2019-2945）

  - OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）

  - OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）

  - OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）

  - OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）

  - OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）

  - OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）

  - OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）

  - OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）

  - OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分（Javadoc、8226765）（CVE-2019-2999）

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Java SE、Oracle Java SE の Java SE Embedded 製品の脆弱性 (コンポーネント: Kerberos)。サポートされているバージョンで影響を受けるのは、Java SE: 7u231、8u221、11.0.4、13、Java SE Embedded: 8u221 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が Kerberos を介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性は Java SE、Java SE Embedded にありますが、攻撃によって他の製品にも大きな影響が出る可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Java SE Embeddedがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意: この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを (Java SE 8 で) 実行しているクライアントで、信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティについては Java サンドボックスに依存している Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2019-2949)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、7.0.0.5 より前です。したがって、NXSA-AOS-7.0.0.5 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.0.6 までの bzip2 の decompress.c の BZ2_decompress に、セレクターが多い場合の領域外書き込みがあります。（CVE-2019-12900）

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21131)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21138)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、削除アクセス、また、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition のアクセス可能なデータのサブセットへの不正な読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21140)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 同時実行性)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。
    注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2024-21144)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
130136	DebianDSA-4548-1：openjdk-8 - セキュリティ更新	Nessus	Debian Local Security Checks	2019/10/22	2024/4/17	medium
130142	Scientific Linux セキュリティ更新: SL6.x i386/x86_64のjava-1.8.0-openjdk（20191018）	Nessus	Scientific Linux Local Security Checks	2019/10/22	2024/4/17	medium
252150	Linux Distros のパッチ未適用の脆弱性: CVE-2019-2949	Nessus	Misc.	2025/8/19	2025/8/19	medium
214211	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-7.0.0.5)	Nessus	Misc.	2025/1/15	2025/7/22	critical

検出

プラグインの検索

medium

medium

medium

critical