リモートホストにインストールされている Amazon Corretto のバージョンは、8 < 8.232.09.1より前です。したがって、corretto-8-2019-Oct-15 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - security-libs/javax.net.ssl (CVE-2019-2894, CVE-2019-2949)

  - core-libs (CVE-2019-2933)

  - core-libs/java.net (CVE-2019-2945, CVE-2019-2978, CVE-2019-2989)

  - core-libs/java.lang (CVE-2019-2958)

  - client-libs/2d (CVE-2019-2962, CVE-2019-2983, CVE-2019-2987, CVE-2019-2988, CVE-2019-2992)

  - core-libs/java.util.regex (CVE-2019-2964)

  - xml/jaxp (CVE-2019-2973, CVE-2019-2981)

  - core-libs/javax.script (CVE-2019-2975)

  - tools/javadoc (CVE-2019-2999)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている AOS のバージョンは、5.11.2.1 より前です。したがって、NXSA-AOS-5.11.2.1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.8.28 より前の Sudo において、Runas ALL sudoer アカウントにアクセスできる攻撃者が、細工されたユーザー ID で sudo を呼び出すことにより、特定のポリシーのブラックリストおよびセッション PAM モジュールを回避して、誤ったロギングを引き起こす可能性があります。これにより、たとえば、sudo -u \#$((0xffffffff)) コマンドにおいて !root configuration、および USER= logging をバイパスする可能性があります。(CVE-2019-14287)

  - imptcp モジュールにおける rsyslog でサービス拒否の脆弱性が見つかりました。攻撃者が特別に細工したメッセージを imptcp ソケットに送信すると、rsyslog がクラッシュする可能性があります。8.27.0 より前のバージョンは脆弱です。(CVE-2018-16881)

  - Java SE、Oracle Java SE の Java SE Embedded 製品の脆弱性 (コンポーネント: ネットワーキング)。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u231、8u221、11.0.4、13、Java SE Embedded: 8u221 です。
    悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性への攻撃が成功すると、Java SE および Java SE Embedded の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを (Java SE 8 で) 実行しているクライアントで、信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティについては Java サンドボックスに依存している Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2019-2945)

  - Java SE、Oracle Java SE の Java SE Embedded 製品の脆弱性 (コンポーネント: Kerberos)。サポートされているバージョンで影響を受けるのは、Java SE: 7u231、8u221、11.0.4、13、Java SE Embedded: 8u221 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が Kerberos を介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性は Java SE、Java SE Embedded にありますが、攻撃によって他の製品にも大きな影響が出る可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Java SE Embeddedがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意: この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを (Java SE 8 で) 実行しているクライアントで、信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティについては Java サンドボックスに依存している Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2019-2949)

  - Oracle Java SE の Java SE、Java SE Embedded 製品の脆弱性 (コンポーネント: 2D)。サポートされているバージョンで影響を受けるのは、Java SE: 7u231、8u221、11.0.4、13、Java SE Embedded: 8u221 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SE および Java SE Embedded の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを (Java SE 8 で) 実行しているクライアントで、信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティについては Java サンドボックスに依存している Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2019-2962)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、5.16.1 より前です。したがって、NXSA-AOS-5.16.1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - ESXi および Horizon DaaS アプライアンスで使用されている OpenSLP に、ヒープ上書きの問題があります。VMwareは、この問題の深刻度を、9.8の最大CVSSv3基本スコアを持つ「重要度最高」の深刻度範囲と評価しています。
    (CVE-2019-5544)

  - 1.8.28 より前の Sudo において、Runas ALL sudoer アカウントにアクセスできる攻撃者が、細工されたユーザー ID で sudo を呼び出すことにより、特定のポリシーのブラックリストおよびセッション PAM モジュールを回避して、誤ったロギングを引き起こす可能性があります。これにより、たとえば、sudo -u \#$((0xffffffff)) コマンドにおいて !root configuration、および USER= logging をバイパスする可能性があります。(CVE-2019-14287)

  - 空または不正な形式の p256-ECDH 公開鍵は、値がメモリにコピーされて使用される前に不適切にサニタイズされるため、セグメンテーション違反を誘発する可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 60.8、Firefox < 68、Thunderbird < 60.8です。(CVE-2019-11729)

  - ブロック暗号によって暗号化するとき、そのブロックサイズよりも小さいデータでNSC_EncryptUpdateに対する呼び出しが行われた場合、小さな領域外書き込みが引き起こされる可能性があります。これにより、ヒープ破損と悪用可能なクラッシュを引き起こす可能性があります。この脆弱性の影響を受けるのは、Thunderbird < 68.3、Firefox ESR < 68.3、Firefox < 71 です。(CVE-2019-11745)

  - 4.18.7 より前の Linux カーネルで問題が発見されました。block/blk-core.cに、
    特定のエラーケースが誤って処理されるため、__blk_drain_queue() のメモリ解放後使用 (Use After Free) があります。(CVE-2018-20856)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

OpenJDK Javaランタイムで複数の脆弱性が発見されました。これにより、クロスサイトスクリプティング、サービス拒否、情報漏洩、またはKerberosユーザーなりすましが発生します。

java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（Networking、8223892）（CVE-2019-2978 ）* OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーク、8225298）（CVE-2019-2989）* OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーク、8218573）（CVE-2019-2945）* OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）* OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）* OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）* OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）* OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）* OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）* OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）* OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）* OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分です（Javadoc、8226765）（CVE-2019-2999）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

セキュリティ修正プログラム:

  - OpenJDK：Kerberosプロキシ資格情報の不適切な処理（Kerberos、8220302）（CVE-2019-2949）

  - OpenJDK：Nashornでの正規表現処理中にスローされる予期しない例外（スクリプティング、8223518）（CVE-2019-2975）

  - OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（ネットワーキング、8223892）（CVE-2019-2978）

  - OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーキング、8225298）（CVE-2019-2989）

  - OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーキング、8218573）（CVE-2019-2945）

  - OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）

  - OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）

  - OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）

  - OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）

  - OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）

  - OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）

  - OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）

  - OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）

  - OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分（Javadoc、8226765）（CVE-2019-2999）

このjava-1_8_0-openjdkの更新（jdk8u232/icedtea 3.14.0）では、次の問題を修正します：

修正されたセキュリティ問題（bsc#1154212）：

CVE-2019-2933：reduxを処理するWindowsファイル

CVE-2019-2945：ソケットサポートを改善します

CVE-2019-2949：Kerberos ccache処理を改善します

CVE-2019-2958：より優れたプロセスを構築します

CVE-2019-2964：パターンのサポートを改善します

CVE-2019-2962：Glyph画像を改善します

CVE-2019-2973：より良いパターンコンパイル

CVE-2019-2975：jjsの予期しない例外

CVE-2019-2978：jarファイルの処理を改善しました

CVE-2019-2981：Better Pathのサポート

CVE-2019-2983：シリアル属性を改善します

CVE-2019-2987：ネイティブグリフのレンダリングを改善

CVE-2019-2988：Graphics2D描画を改善

CVE-2019-2989：TLS接続サポートを向上させます

CVE-2019-2992：フォントグリフマッピングを強化します

CVE-2019-2999：Javadocコメントに対する注釈

CVE-2019-2894：ECDSA操作を強化します（bsc#1152856）

バグ修正：ARM上のビルドの失敗を修正しました（bsc#1138529）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2019: 3135アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーキング、8218573）（CVE-2019-2945）

  - OpenJDK：Kerberosプロキシ資格情報の不適切な処理（Kerberos、8220302）（CVE-2019-2949）

  - OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）

  - OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）

  - OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）

  - OpenJDK：Nashornでの正規表現処理中にスローされる予期しない例外（スクリプティング、8223518）（CVE-2019-2975）

  - OpenJDK：実装の最適化されたString index実装の領域外アクセス（ホットスポット、8224062）（CVE-2019-2977）

  - OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（ネットワーキング、8223892）（CVE-2019-2978）

  - OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）

  - OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）

  - OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）

  - OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）

  - OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーキング、8225298）（CVE-2019-2989）

  - OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）

  - OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分（Javadoc、8226765）（CVE-2019-2999）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている AOS のバージョンは、6.10.1 より前です。したがって、NXSA-AOS-6.10.1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.6.3 以前の libexpat で問題が発見されました。xmlparse.c の nextScaffoldPart では、32 ビット プラットフォーム (UINT_MAX が SIZE_MAX) で m_groupSize の整数オーバーフローが発生する可能性があります。(CVE-2024-45492)

  - 1.0.6 までの bzip2 の decompress.c の BZ2_decompress に、セレクターが多い場合の領域外書き込みがあります。（CVE-2019-12900）

  - RFC 2865 の RADIUS プロトコルは、他の応答に対して有効な応答 (Access-Accept、Access-Reject、または Access-Challenge) を変更できるローカルの攻撃者により、MD5 応答認証の署名に対して選択されたプレフィックスの衝突攻撃を使用する偽造攻撃の影響を受けやすくなっています。(CVE-2024-3596)

  - 安全でない一時ファイルを通じて権限昇格が可能になる脆弱性が GNU Nano で検出されました。編集中に Nano が強制終了された場合、実行中のユーザーのアクセス許可で緊急ファイルに保存されたファイルは、攻撃者が悪意のあるシンボリックリンクを通じて権限を昇格する機会を提供します。(CVE-2024-5742)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21131)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのMiracleLinux 4ホストには、AXSA:2019-4356:04アドバイザリに記載されているとおり、複数の脆弱性の影響を受けるパッケージがインストールされています。

    * OpenJDKKerberosプロキシ資格情報の不適切な処理Kerberos、8220302CVE-2019-2949]
      * OpenJDKNashorn での正規表現処理中にスローされる予期しない例外スクリプティング、8223518CVE-2019-2975
      * OpenJDKネスト化された jar の不適切な処理Jar URL ハンドラー内の URLネットワーク、8223892CVE-2019-2978]
      * OpenJDKHttpURLConnection での HTTP プロキシ応答の不適切な処理ネットワーク、8225298CVE-2019-2989]
      * OpenJDKカスタム SocketImpl の使用に関する制限がありませんネットワーキング、8218573CVE-2019-2945]
      * OpenJDKDrawGlyphList における NULL ポインターデリファレンス2D、8222690CVE-2019-2962
      * OpenJDK細工された式を処理するパターンによりスローされる予期しない例外同時実行、8222684CVE-2019-2964
      * OpenJDK細工された XPath 式を処理する XPathParser によりスローされる予期しない例外JAXP、8223505CVE-2019-2973
      * OpenJDK細工された XPath 式を処理する Path によりスローされる予期しない例外JAXP、8224532CVE-2019-2981]
      * OpenJDKFont オブジェクトの逆シリアル化中にスローされる予期しない例外シリアル化、8224915CVE-2019-2983
      * OpenJDKFreetypeFontScaler における glyph ビットマップイメージの次元チェックがありません2D、8225286CVE-2019-2987
      * OpenJDKSunGraphics2D における境界チェックの整数オーバーフロー2D、8225292CVE-2019-2988
      * OpenJDKTrueType フォントの読み取り時における CMap での過剰なメモリ割り当て2D、8225597CVE-2019-2992
      * OpenJDKJavadoc での HTML イベント属性の不十分なフィルタリングJavadoc、8226765CVE-2019-2999

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
159430	Amazon Corretto Java 8.x< 8.232.09.1複数の脆弱性	Nessus	Misc.	2022/4/1	2022/5/6	medium
164598	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-5.11.2.1)	Nessus	Misc.	2022/9/1	2025/2/17	high
164695	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-5.16.1)	Nessus	Misc.	2022/9/6	2025/7/22	critical
130134	DebianDSA-4546-1：openjdk-11 - セキュリティ更新	Nessus	Debian Local Security Checks	2019/10/22	2024/4/17	medium
130141	RHEL 6：java-1.7.0-openjdk（RHSA-2019:3158）	Nessus	Red Hat Local Security Checks	2019/10/22	2024/11/7	medium
130142	Scientific Linux セキュリティ更新: SL6.x i386/x86_64のjava-1.8.0-openjdk（20191018）	Nessus	Scientific Linux Local Security Checks	2019/10/22	2024/4/17	medium
132754	Amazon Linux AMI：java-1.8.0-openjdk（ALAS-2020-1330）	Nessus	Amazon Linux Local Security Checks	2020/1/10	2024/12/11	medium
132004	SUSE SLED15 / SLES15セキュリティ更新プログラム：java-1_8_0-openjdk (SUSE-SU-2019:3238-1)	Nessus	SuSE Local Security Checks	2019/12/12	2022/5/18	medium
145648	CentOS 8：java-11-openjdk（CESA-2019：3135）	Nessus	CentOS Local Security Checks	2021/1/29	2022/5/11	medium
215141	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-6.10.1)	Nessus	Misc.	2025/2/7	2026/6/30	critical
290080	MiracleLinux 4 java-1.8.0-openjdk-1.8.0.232.b09-1.AXS4 AXSA:2019-4356:04	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	medium

検出

プラグインの検索

medium

high

critical

medium

medium

medium

medium

medium

medium

critical

medium