java-1.7.1-ibmの更新プログラムが、Red Hat Satellite 5.6とRed Hat Satellite 5.7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン7リリース1には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 7がバージョン7R1 SR4-FP20にアップグレードされます。セキュリティ修正プログラム：* OpenJDK：LDAPCertStoreのLDAPリファラルの不安定な処理（JNDI、8186606）（CVE-2018-2633）* OpenJDK：HTTP/SPNEGOへのグローバル資格情報の使用（JGSS、8186600）（CVE-2018-2634）* OpenJDK：SingleEntryRegistryの逆シリアル化フィルターの不適切な設定（JMX、8186998）（CVE-2018-2637）* OpenJDK：GTKライブラリのメモリ解放後使用（Use After Free）の読み込み（AWT、8185325）（CVE-2018-2641）* Oracle JDK：7u171、8u161、9.0.4で詳細不明な脆弱性を修正（JavaFX）（CVE-2018-2581）* OpenJDK：LdapLoginModuleのLDAPクエリでのユーザー名エンコーディング不足（LDAP、8178449）（CVE-2018-2588）* OpenJDK：DnsClientのソースポートランダム化の欠如（JNDI、8182125）（CVE-2018-2599）* OpenJDK：信頼できない場所からのクラスの読み込み（I18n、8182601）（CVE-2018-2602）* OpenJDK：DerValueの無制限メモリ割り当て（ライブラリ、8182387）（CVE-2018-2603）* OpenJDK：鍵合意の強度不足（JCE、8185292）（CVE-2018-2618）* OpenJDK：GSSコンテキストのメモリ解放後使用（Use After Free）（JGSS、8186212）（CVE-2018-2629）* Oracle JDK：6u181および7u171で詳細不明な脆弱性を修正（シリアル化）（CVE-2018-2657）* OpenJDK：ArrayBlockingQueue逆シリアル化の不安定な状態（ライブラリ、8189284）（CVE-2018-2663）* OpenJDK：逆シリアル化中の無制限メモリ割り当て（AWT、8190289）（CVE-2018-2677）* OpenJDK：BasicAttributes逆シリアル化の無制限メモリ割り当て（JNDI、8191142）（CVE-2018-2678）* OpenJDK：暗号化キーデータへの非同期アクセス（ライブラリ、8172525）（CVE-2018-2579）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

出典: Red Hatセキュリティアドバイザリ2018:0349:java-1.7.0-openjdkの更新がRed Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのAWTコンポーネントに欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2018-2641）* OpenJDKのJNDIコンポーネントにあるLDAPCertStoreクラスがLDAPリフェラルを安全に処理できませんでした。攻撃者がこの欠陥を使用して、攻撃者が制御する証明書データを取得する可能性があります。（CVE-2018-2633）* OpenJDKのJGSSコンポーネントは、HTTP/SPNEGO認証を使用する場合はjavax.security.auth.useSubjectCredsOnlyプロパティの値を無視し、常にグローバル認証情報を使用します。これにより、信頼できないJavaアプリケーションがグローバルな資格情報を予期せず使用する可能性があることが発見されました。（CVE-2018-2634）* OpenJDKのJMXコンポーネントが、特定の場合にSingleEntryRegistryの逆シリアル化フィルターを正しく設定できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、目的の逆シリアル化制限をバイパスする可能性があります。（CVE-2018-2637）* OpenJDKのLDAPコンポーネントが、LDAP検索クエリに特殊文字を追加するときに、ユーザー名に特殊文字を正しくコード化できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、LdapLoginModuleクラスが実行するLDAPクエリを操作する可能性があります。（CVE-2018-2588）* OpenJDKのJNDIコンポーネントでDNSクライアントを実装しても、DNSクエリを送信するときにランダムな送信元ポートが使用されないことがわかりました。これにより、リモートの攻撃者がクエリへの応答を偽装することが容易になる可能性があります。（CVE-2018-2599）* OpenJDKのI18nコンポーネントが、リソースバンドルクラスを読み込むときに、信頼できない検索パスを使用する可能性があることがわかりました。ローカルの攻撃者がこの欠陥を使用して、Javaアプリケーションに攻撃者が制御するクラスファイルを読み込ませることで別のローカルユーザーとして任意のコードを実行する可能性があります。（CVE-2018-2602）* OpenJDKのライブラリコンポーネントが、DERでコード化された入力を読み取るときに、割り当てられるメモリの量を十分に制限できないことがわかりました。DERでコード化された攻撃者による入力を解析した場合、リモートの攻撃者がこの欠陥を使用して、Javaアプリケーションに過度のメモリを使用させる可能性があります。（CVE-2018-2603）* OpenJDKのJCEコンポーネントにおけるキーの合意を実装しても、生成された共有秘密を適切に保護するために使用されるキーの強度が十分であることを保証できないことがわかりました。これにより、ネゴシエート済みの秘密を使用し暗号化ではなく、鍵合意を攻撃することで暗号化されたデータがさらに簡単に解読される可能性があります。（CVE-2018-2618）* OpenJDKのJGSSコンポーネントが、特定の場合にネイティブGSSライブラリラッパーのGSSコンテキストを適切に処理しないことがわかりました。リモートの攻撃者がJGSSを使用してJavaアプリケーションを作成し、以前に解放されたコンテキストを使用する可能性があります。（CVE-2018-2629）* OpenJDKのライブラリ、AWT、およびJNDIコンポーネントの複数のクラスが、シリアル化されたフォームからオブジェクトインスタンスを作成するときに、入力を十分に検証しないことがわかりました。特別に細工された入力があると、Javaアプリケーションで状態が矛盾したオブジェクトを作成したり、逆シリアル化されたとき過剰な量のメモリを使用する可能性があります。（CVE-2018-2663、CVE-2018-2677、CVE-2018-2678）* OpenJDKのライブラリコンポーネントの複数の暗号化キークラスが、内部データへのアクセスを適切に同期していないことがわかりました。これにより、ゼロアウトされたキーを使用するため、マルチスレッドのJavaアプリケーションが弱い暗号化をデータに適用する可能性があります。（CVE-2018-2579）

java-1.6.0-sunの更新プログラムが、Oracle Java for Red Hat Enterprise Linux 6、Oracle Java for Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Oracle Java SEバージョン6には、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットが含まれます。この更新プログラムで、Oracle Java SE 6がバージョン6 Update 181にアップグレードされます。セキュリティ修正プログラム：* この更新では、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットにある複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションにリスト表示されている、「Oracle Java SE Critical Patch Updateアドバイザリ」ページを参照してください。（CVE-2018-2579、CVE-2018-2588、CVE-2018-2599、CVE-2018-2602、CVE-2018-2603、CVE-2018-2618、CVE-2018-2629、CVE-2018-2633、CVE-2018-2637、CVE-2018-2641、CVE-2018-2657、CVE-2018-2663、CVE-2018-2677、CVE-2018-2678）

java-1.8.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのHotspotとAWTコンポーネントに複数の欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこれらの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2018-2582、CVE-2018-2641）* OpenJDKのJNDIコンポーネントにあるLDAPCertStoreクラスがLDAPリフェラルを安全に処理できませんでした。攻撃者がこの欠陥を使用して、攻撃者が制御する証明書データを取得する可能性があります。（CVE-2018-2633）* OpenJDKのJGSSコンポーネントは、HTTP/SPNEGO認証を使用する場合はjavax.security.auth.useSubjectCredsOnlyプロパティの値を無視し、常にグローバル認証情報を使用します。これにより、信頼できないJavaアプリケーションがグローバルな資格情報を予期せず使用する可能性があることが発見されました。（CVE-2018-2634）* OpenJDKのJMXコンポーネントが、特定の場合にSingleEntryRegistryの逆シリアル化フィルターを正しく設定できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、目的の逆シリアル化制限をバイパスする可能性があります。（CVE-2018-2637）* OpenJDKのLDAPコンポーネントが、LDAP検索クエリに特殊文字を追加するときに、ユーザー名に特殊文字を正しくコード化できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、LdapLoginModuleクラスが実行するLDAPクエリを操作する可能性があります。（CVE-2018-2588）* OpenJDKのJNDIコンポーネントでDNSクライアントを実装しても、DNSクエリを送信するときにランダムな送信元ポートが使用されないことがわかりました。これにより、リモートの攻撃者がクエリへの応答を偽装することが容易になる可能性があります。（CVE-2018-2599）* OpenJDKのI18nコンポーネントが、リソースバンドルクラスを読み込むときに、信頼できない検索パスを使用する可能性があることがわかりました。ローカルの攻撃者がこの欠陥を使用して、Javaアプリケーションに攻撃者が制御するクラスファイルを読み込ませることで別のローカルユーザーとして任意のコードを実行する可能性があります。（CVE-2018-2602）* OpenJDKのライブラリコンポーネントが、DERでコード化された入力を読み取るときに、割り当てられるメモリの量を十分に制限できないことがわかりました。DERでコード化された攻撃者による入力を解析した場合、リモートの攻撃者がこの欠陥を使用して、Javaアプリケーションに過度のメモリを使用させる可能性があります。（CVE-2018-2603）* OpenJDKのJCEコンポーネントにおけるキーの合意を実装しても、生成された共有秘密を適切に保護するために使用されるキーの強度が十分であることを保証できないことがわかりました。これにより、ネゴシエート済みの秘密を使用し暗号化ではなく、鍵合意を攻撃することで暗号化されたデータがさらに簡単に解読される可能性があります。（CVE-2018-2618）* OpenJDKのJGSSコンポーネントが、特定の場合にネイティブGSSライブラリラッパーのGSSコンテキストを適切に処理しないことがわかりました。リモートの攻撃者がJGSSを使用してJavaアプリケーションを作成し、以前に解放されたコンテキストを使用する可能性があります。（CVE-2018-2629）* OpenJDKのライブラリ、AWT、およびJNDIコンポーネントの複数のクラスが、シリアル化されたフォームからオブジェクトインスタンスを作成するときに、入力を十分に検証しないことがわかりました。特別に細工された入力があると、Javaアプリケーションで状態が矛盾したオブジェクトを作成したり、逆シリアル化されたとき過剰な量のメモリを使用する可能性があります。（CVE-2018-2663、CVE-2018-2677、CVE-2018-2678）* OpenJDKのライブラリコンポーネントの複数の暗号化キークラスが、内部データへのアクセスを適切に同期していないことがわかりました。これにより、ゼロアウトされたキーを使用するため、マルチスレッドのJavaアプリケーションが弱い暗号化をデータに適用する可能性があります。（CVE-2018-2579）注意：icedtea-webパッケージで提供されるWebブラウザープラグインがインストールされている場合、ユーザーが悪意のあるWebサイトにアクセスすると、Javaアプレットにより引き起こされる問題が、ユーザーとのやり取りなしに悪用される可能性があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：I18n）。サポートされているバージョンで影響を受けるのは、Java SE：6u171、7u161、8u152、および 9.0.1です。 Java SE Embedded：8u151。悪用が難しい脆弱性ですが、Java SE、Java SE Embedded が実行されているインフラストラクチャにログオンしている認証されていない攻撃者が、Java SE、Java SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性を悪用した攻撃が成功すると、一部の Java SE、Java SE Embedded のアクセス可能データを権限なく更新、挿入、削除したり、Java SE、Java SE Embedded のアクセス可能データのサブセットに権限なく読み取りアクセスしたり、Java SE、Java SE Embedded の部分的サービス拒否 (部分的 DOS) を権限なく引き起こしたりする可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-2602)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of Oracle (formerly Sun) Java SE or Java for Business installed on the remote host is prior to 9 Update 4, 8 Update 161, 7 Update 171, or 6 Update 181. It is, therefore, affected by multiple vulnerabilities related to the following components :

 - AWT
 - Deployment
 - Hotspot
 - I18n
 - Installer
 - JCE
 - JGSS
 - JMX
 - JNDI
 - JavaFX
 - LDAP
 - Libraries
 - Serialization

ID	名前	製品	ファミリー	公開日	更新日	深刻度
110405	RHEL 6：java-1.7.1-ibm（RHSA-2018:1812）	Nessus	Red Hat Local Security Checks	2018/6/8	2025/3/20	high
107014	Oracle Linux 6/7：java-1.7.0-openjdk（ELSA-2018-0349）	Nessus	Oracle Linux Local Security Checks	2018/2/27	2024/10/23	high
106256	RHEL 6/7：java-1.6.0-sun（RHSA-2018:0115）	Nessus	Red Hat Local Security Checks	2018/1/23	2025/3/20	high
106172	CentOS 6/7：java-1.8.0-openjdk（CESA-2018:0095）	Nessus	CentOS Local Security Checks	2018/1/19	2019/12/31	high
221880	Linux Distros のパッチ未適用の脆弱性: CVE-2018-2602	Nessus	Misc.	2025/3/4	2025/9/1	medium
700656	Oracle Java SE 6 < Update 181 / 7 < Update 171 / 8 < Update 161 / 9 < Update 4 Multiple Vulnerabilities (January 2018 CPU)	Nessus Network Monitor	Web Clients	2019/5/2	2019/5/2	high

検出

プラグインの検索

high

high

high

high

medium

high