java-1.8.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：Kerberos TGSにおける安全ではないRSA-MD5チェックサムの使用（セキュリティ、8229951）（CVE-2020-2601）* OpenJDK：jdk.serialFilterプロパティ変更を介したシリアル化フィルターの変更（シリアル化、8231422）（CVE-2020-2604）* OpenJDK：GssKrb5BaseでのSASLメッセージプロパティの不適切なチェック（セキュリティ、8226352）（CVE-2020-2590）* OpenJDK：URLの正規化の問題を引き起こす不適切なisBuiltinStreamHandler（ネットワーキング、8228548）（CVE-2020-2593）* OpenJDK：X.509証明書解析時のOID処理における過剰なメモリ消費（ライブラリ、8234037）（CVE-2020-2654）* OpenJDK：BeanContextSupportでの逆シリアル化中の不適切な例外処理（シリアル化、8224909）（CVE-2020-2583）* OpenJDK：DatagramChannelImplのmaxDatagramSockets制限の不完全な実施（ネットワーキング、8231795）（CVE-2020-2659）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

OpenJDK Javaランタイムに複数の脆弱性が発見されました。これは、サービス拒否、Kerberos GSSAPIおよびTGSリクエストの不適切な実装、または不適切なTLSハンドシェイクにつながります。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 0128アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - OpenJDK：BeanContextSupportでの逆シリアル化の間の不適切な例外処理（シリアル化、8224909）（CVE-2020-2583）

  - OpenJDK：GssKrb5BaseでのSASLメッセージプロパティの不適切なチェック（セキュリティ、8226352）（CVE-2020-2590）

  - OpenJDK：URLの正規化の問題を引き起こす不適切なisBuiltinStreamHandlerチェック（ネットワーキング、8228548）（CVE-2020-2593）

  - OpenJDK：Kerberos TGSにおける不安全なRSA-MD5チェックサムの使用（セキュリティ、8229951）（CVE-2020-2601）

  - OpenJDK：jdk.serialFilterプロパティ変更を介したシリアル化フィルターの変更（シリアル化、8231422）（CVE-2020-2604）

  - OpenJDK：X.509証明書解析時のOID処理における過剰なメモリ消費（ライブラリ、8234037）（CVE-2020-2654）

  - OpenJDK：予期しないCertificateVerify TLSハンドシェイクメッセージの不適切な処理（JSSE、8231780）（CVE-2020-2655）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

java-1_8_0-openjdk用のこの更新プログラムでは、以下の問題が修正されています：

java-1_8_0-openjdkをバージョンjdk8u242に更新します（icedtea 3.15.0）（2020年1月CPU、bsc#1160968）：

CVE-2020-2583：LinkedHashSetsのセットをリンク解除します

CVE-2020-2590：Kerberosの相互運用機能を改善します

CVE-2020-2593：すべての正規化を正規化します

CVE-2020-2601：チケット保証サービスを改善します

CVE-2020-2604：シリアルフィルター処理を改善します

CVE-2020-2659：データグラムソケットサポートを強化します

CVE-2020-2654：オブジェクト識別子の処理を改善します

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：Kerberos TGSにおける安全でないRSA-MD5チェックサムの使用（セキュリティ、8229951）（CVE-2020-2601）* OpenJDK：jdk.serialFilterプロパティ変更を介したシリアル化フィルターの変更（シリアル化、8231422）（CVE-2020-2604）* OpenJDK：GssKrb5BaseでのSASLメッセージプロパティの不適切なチェック（セキュリティ、8226352）（CVE-2020-2590）* OpenJDK：URLの正規化の問題を引き起こす不適切なisBuiltinStreamHandlerチェック（ネットワーキング、8228548）（CVE-2020-2593）* OpenJDK：X.509証明書解析時のOID処理における過剰なメモリ消費（ライブラリ、8234037）（CVE-2020-2654）* OpenJDK：BeanContextSupportでの逆シリアル化の間の不適切な例外処理（シリアル化、8224909）（CVE-2020-2583）* OpenJDK：DatagramChannelImplのmaxDatagramSockets制限の不完全な実施（ネットワーキング、8231795）（CVE-2020-2659）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1_7_0-openjdk用のこの更新プログラムでは、以下の問題が修正されています：

java-1_7_0-openjdkのバージョンjdk7u251への更新（2020年1月CPU、bsc#1160968）：

CVE-2020-2583：LinkedHashSetsのセットをリンク解除します

CVE-2020-2590：Kerberosの相互運用機能を改善します

CVE-2020-2593：すべての正規化を正規化します

CVE-2020-2601：チケット保証サービスを改善します

CVE-2020-2604：シリアルフィルター処理を改善します

CVE-2020-2659：データグラムソケットサポートを強化します

CVE-2020-2654：オブジェクト識別子の処理を改善します

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2020:0541 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenJDK: BeanContextSupport での逆シリアル化の間の不適切な例外処理 (シリアル化、8224909) (CVE-2020-2583)

  - OpenJDK: GssKrb5Base での SASL メッセージプロパティの不適切なチェック (セキュリティ、8226352) (CVE-2020-2590)

  - OpenJDK: URL の正規化の問題を引き起こす不適切な isBuiltinStreamHandler チェック (ネットワーキング、8228548) (CVE-2020-2593)

  - OpenJDK: Kerberos TGS における不安全な RSA-MD5 チェックサムの使用 (セキュリティ、8229951) (CVE-2020-2601)

  - OpenJDK: jdk.serialFilter プロパティ変更を介したシリアル化フィルターの変更 (シリアル化、8231422) (CVE-2020-2604)

  - OpenJDK: X.509 証明書解析時の OID 処理における過剰なメモリ消費 (ライブラリ、8234037) (CVE-2020-2654)

  - OpenJDK: DatagramChannelImpl の maxDatagramSockets 制限の不完全な実施 (ネットワーキング、8231795) (CVE-2020-2659)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
133312	CentOS 7：java-1.8.0-openjdk（CESA-2020:0196）	Nessus	CentOS Local Security Checks	2020/1/30	2020/2/3	high
133658	Debian DSA-4621-1 : openjdk-8 - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/2/13	2024/3/27	high
146041	CentOS 8：java-11-openjdk（CESA-2020: 0128）	Nessus	CentOS Local Security Checks	2021/2/1	2021/3/23	high
133257	SUSE SLED15 / SLES15セキュリティ更新プログラム：java-1_8_0-openjdk（SUSE-SU-2020:0231-1）	Nessus	SuSE Local Security Checks	2020/1/27	2024/3/28	high
134123	CentOS 6：java-1.7.0-openjdk（CESA-2020:0632）	Nessus	CentOS Local Security Checks	2020/2/28	2020/3/6	high
134399	SUSE SLED12 / SLES12セキュリティ更新プログラム：java-1_7_0-openjdk（SUSE-SU-2020:0628-1）	Nessus	SuSE Local Security Checks	2020/3/11	2024/3/22	high
133784	RHEL 7 : java-1.7.0-openjdk (RHSA-2020:0541)	Nessus	Red Hat Local Security Checks	2020/2/19	2024/4/28	high

検出

プラグインの検索

high

high

high

high

high

high

high