リモートホストは、GLSA-201603-14 で説明されている脆弱性による影響を受けます（IcedTea：複数の脆弱性）

2D、Corba、ホットスポット、ライブラリ、JAXP など、IcedTea にさまざまな OpenJDK 攻撃ベクトルが存在します。これにより、リモートの攻撃者が脆弱なシステムの機密性、整合性、可用性に影響を与えることが可能です。これには、任意のコードのリモート実行、情報漏洩、またはサービス拒否の可能性が含まれます。脆弱性の多くは、サンドボックス型 Java Web Start アプリケーションと Java アプレットを通じてのみ悪用することができます。特定の詳細については、一覧されている CVE を参照してください。
 影響：

リモートの攻撃者が、リモートで任意のコードを実行し、情報を危険にさらし、サービス拒否を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Oracle Java プラットフォームの実装である OpenJDK で、いくつかの脆弱性が発見されています。これらの脆弱性は、任意のコードの実行、Java サンドボックスからの脱出、情報漏洩およびサービス拒否に関連します。

Debian 6「Squeeze」では、これらの問題は openjdk-6 バージョン 6b37-1.13.9-1~deb6u1 で修正されました。

お使いの openjdk-6 パッケージをアップグレードすることを推奨します。

Debian Long Term Support（LTS）プロジェクト、およびこれらの更新を適用する方法の詳細：https://wiki.debian.org/LTS/

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

java-1_6_0-ibm のこの更新により、以下の問題が修正されます：

- バージョン 6.0-16.15 へ更新します bsc#955131：CVE-2015-4734 CVE-2015-4803 CVE-2015-4805 CVE-2015-4806 CVE-2015-4810 CVE-2015-4835 CVE-2015-4840 CVE-2015-4842 CVE-2015-4843 CVE-2015-4844 CVE-2015-4860 CVE-2015-4871 CVE-2015-4872 CVE-2015-4882 CVE-2015-4883 CVE-2015-4893 CVE-2015-4902 CVE-2015-4903 CVE-2015-4911 CVE-2015-5006

CVE-2015-2808 CVE-2015-2625 CVE-2015-0491 CVE-2015-0459 CVE-2015-0469 CVE-2015-0458 CVE-2015-0480 CVE-2015-0488 CVE-2015-0478 CVE-2015-0477 CVE-2015-0204

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Oracle による報告：

この重要なパッチ更新には、Oracle Java SE に対する 25 つの新しいセキュリティ修正が含まれています。これらの脆弱性のうちの 24 個は、認証なしにリモートで悪用される可能性があります。すなわち、ユーザー名およびパスワードの必要なしにネットワーク上で悪用できる可能性があります。

リモート Redhat Enterprise Linux 5 / 6 ホストに、RHSA-2016:1430 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenJDK: kerberos のレルム名の漏洩 (JGSS、8048030) (CVE-2015-4734)

  - OpenJDK: XML 解析中のハッシュテーブルとハッシュリストの非効率的な使用 (JAXP、8068842) (CVE-2015-4803)

  - OpenJDK: ObjectStreamClass での適切な初期化に対するチェックの欠落 (シリアル化、8103671) (CVE-2015-4805)

  - OpenJDK: HttpURLConnection ヘッダー制限のバイパス (ライブラリ、8130193) (CVE-2015-4806)

  - Oracle JDK: 7u91 および 8u65 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2015-4810)

  - OpenJDK: StubGenerator での不十分な権限チェック (CORBA、8076383) (CVE-2015-4835)

  - OpenJDK: CMS コードの OOB アクセス (2D、8086092) (CVE-2015-4840)

  - OpenJDK: user.dir の場所の漏洩 (JAXP、8078427) (CVE-2015-4842)

  - OpenJDK: java.nio バッファ整数オーバーフローの問題 (ライブラリ、8130891) (CVE-2015-4843)

  - ICU: レイアウトエンジンの境界検査の欠如 (OpenJDK 2D、8132042) (CVE-2015-4844)

  - OpenJDK: DGCImpl で使用される不適切なアクセス制御コンテキスト (RMI、8080688) (CVE-2015-4860)

  - OpenJDK: 保護されたメソッドを、DirectMethodHandle を介してインターフェースメソッドとして使用できます (ライブラリ) (CVE-2015-4871)

  - OpenJDK: AlgorithmChecker による不完全な制約の実施 (Security、8131291) (CVE-2015-4872)

  - OpenJDK: IIOPInputStream での不適切な String オブジェクトの逆シリアル化 (CORBA、8076387) (CVE-2015-4882)

  - OpenJDK: DGCImpl で使用される不適切なアクセス制御コンテキスト (RMI、8076413) (CVE-2015-4883)

  - OpenJDK: 不完全な MaxXMLNameLimit の実施 (JAXP、8086733) (CVE-2015-4893)

  - Oracle JDK: 6u105、7u91、および 8u65(デプロイメント) で修正された詳細不明な脆弱性 (CVE-2015-4902)

  - OpenJDK: RemoteObjectInvocationHandler での不十分なプロキシクラスチェック (RMI、8076339) (CVE-2015-4903)

  - IBM JDK: kerberos 認証情報キャッシュのローカル漏洩 (CVE-2015-5006)

  - IBM JDK: J9 JVM により、コードがパブリックでないインターフェースメソッドを呼び出す可能性があります (CVE-2015-5041)

  - 鍵交換プロトコルの MD5 に対する TLS 1.2 Transcript Collision 攻撃 (SLOTH) (CVE-2015-7575)

  - libpng: png_convert_to_rfc1123 の領域外読み取り (CVE-2015-7981)

  - libpng: png_get_PLTE/png_set_PLTE 関数でのバッファオーバーフローの脆弱性 (CVE-2015-8126、CVE-2015-8472)

  - libpng: png_check_keyword() のアンダーフロー読み取り (CVE-2015-8540)

  - IBM JDK: IBM JVM のバッファオーバーフローの脆弱性 (CVE-2016-0264)

  - IBM JDK: CORBA コンポーネントの中の呼び出しメソッドのセキュリティ保護のない使用、CVE-2013-3009 の不適切な修正 (CVE-2016-0363)

  - IBM JDK: CORBA のセキュリティ保護のない逆シリアル化、CVE-2013-5456 の不適切な修正 (CVE-2016-0376)

  - OpenJDK: URL 逆シリアル化の不一致 (Networking、8059054) (CVE-2016-0402)

  - OpenJDK: RMI 接続シークレットのロギング (JMX、8130710) (CVE-2016-0448)

  - OpenJDK: totalEntitySizeLimit の不十分な実施 (JAXP、8133962) (CVE-2016-0466)

  - OpenJDK: JPEG デコーダーの不適切な境界検査 (AWT、8139017) (CVE-2016-0483)

  - ICU: IndicRearrangementProcessor の整数符号問題 (OpenJDK 2D、8140543) (CVE-2016-0494)

  - OpenJDK: ObjectInputStream の不十分なスレッドの一貫性チェック (シリアル化、8129952) (CVE-2016-0686)

  - OpenJDK: 不十分なバイト型チェック (ホットスポット、8132051) (CVE-2016-0687)

  - Oracle JDK: 6u115、7u101、および 8u91 (2D) で修正された詳細不明な脆弱性 (CVE-2016-3422、CVE-2016-3443)

  - OpenJDK: 一定時間でない GCM 認証タグの比較 (JCE、8143945) (CVE-2016-3426)

  - OpenJDK: 認証情報の無制限な逆シリアル化 (JMX、8144430) (CVE-2016-3427)

  - Oracle JDK: 6u115、7u101、および 8u91 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2016-3449)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
89907	GLSA-201603-14：IcedTea：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/3/14	2022/3/8	critical
87056	Debian DLA-346-1：openjdk-6 セキュリティ更新	Nessus	Debian Local Security Checks	2015/11/25	2021/1/11	critical
87180	SUSE SLES11 セキュリティ更新： java-1_6_0-ibm （SUSE-SU-2015：2166-1）（Bar Mitzvah）（FREAK）	Nessus	SuSE Local Security Checks	2015/12/3	2022/3/8	critical
87386	FreeBSD：java -- 複数の脆弱性（a5934ba8-a376-11e5-85e9-14dae9d210b8）	Nessus	FreeBSD Local Security Checks	2015/12/16	2022/3/8	critical
92400	RHEL 5 / 6 : java-1.7.0-ibm および java-1.7.1-ibm (RHSA-2016:1430)	Nessus	Red Hat Local Security Checks	2016/7/19	2024/6/3	critical

検出

プラグインの検索

critical

critical

critical

critical

critical