Red Hat セキュリティアドバイザリ 2009:0377 から：

複数のセキュリティ問題を修正する、更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

Java 仮想マシン（JVM）の一時フォントファイルの処理過程に欠陥が見つかりました。悪意のあるアプレットはこの欠陥を利用すると、大量のディスク容量を使用してサービス拒否を引き起こす可能性があります。
(CVE-2006-2426)

LittleCMS（OpenJDK に組み込み済み）にメモリ漏洩の欠陥が見つかりました。カラープロファイルを使用しているアプリケーションは特別に細工された画像を開くことで、過剰なメモリ量を使用し、すべての利用可能なメモリを使用した後でクラッシュさせる可能性があります。(CVE-2009-0581)

LittleCMS のカラープロファイルの処理過程にヒープベースのバッファオーバーフローを引き起こす可能性のある複数の整数オーバーフロー、及び複数の不十分な入力検証の欠陥が見つかりました。攻撃者は、これらの欠陥を利用して特別に細工されたファイルを生成することができます。このファイルを開くと、Java アプリケーションがクラッシュすることや、任意のコードを実行できる可能性もあります。（CVE-2009-0723、 CVE-2009-0733）

LittleCMS に NULL ポインターデリファレンスの欠陥が見つかりました。カラープロファイルを使用しているアプリケーションは、特別に細工された画像ファイルを変換する際にクラッシュすることがあります。(CVE-2009-0793)

Java API for XML Web Services（JAX-WS）サービスエンドポイント処理の欠陥により、リモートの攻撃者は JAX-WS サービスエンドポイントをホストしているサーバーアプリケーションでサービス拒否を発生させることができます。
(CVE-2009-1101)

Java Runtime Environment が LDAP 接続を初期化の欠陥により、リモートの許可されたユーザーが LDAP サービスでサービス拒否を引き起こすことができます。(CVE-2009-1093)

Java Runtime Environment LDAP クライアントの欠陥により、 LDAP サーバーの悪意のあるデータが任意のコードを読み込み、 LDAP クライアントで実行されることがあります。(CVE-2009-1094)

Java Runtime Evnvironment unpack200 の機能に複数のバッファオーバーフローの欠陥が見つかりました。信頼できないアプレットが権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、ユーザーが実行しているアプレットの権限でローカルアプリケーションを実行できるようになります。（CVE-2009-1095、 CVE-2009-1096）

Java Runtime Environment 仮想マシンコード生成機能における欠陥により、信頼できないアプレットが権限を拡張する可能性があります。信頼できないアプレットが権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、ユーザーが実行しているアプレットの権限でローカルアプリケーションを実行できるようになります。
(CVE-2009-1102)

スプラッシュスクリーンプロセスで、バッファオーバーフローの欠陥が見つかりました。リモートの攻撃者が権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、Java プロセスを実行しているユーザーの権限でローカルアプリケーションを実行できるようになります。(CVE-2009-1097)

GIF 画像の処理過程にバッファオーバーフローの欠陥が見つかりました。リモートの攻撃者が権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、Java プロセスを実行しているユーザーの権限でローカルアプリケーションを実行できるようになります。(CVE-2009-1098)

注：このアドバイザリ、CVE-2009-1095、CVE-2009-1096、 CVE-2009-1102 のアプレットに関する欠陥は、「appletviewer」アプリケーションを呼び出すことにより、 java-1.6.0-openjdk でのみ発生させられます。

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

Red Hat セキュリティアドバイザリ 2009:0339 から：

いくつかのセキュリティ問題を解決する更新済みの lcms パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Little Color Management System（LittleCMS または単純に「lcms」）は、サイズが小さく高速処理用に最適化されたオープンソースのカラー管理エンジンです。

LittleCMS に、ヒープベースのバッファオーバーフローの原因になる複数の整数オーバーフローの欠陥、および複数の不充分な入力検証の欠陥が見つかりました。攻撃者がこの欠陥を利用して、特別に細工されたイメージファイルを作成し、被害者がこれを開いた場合に、 LittleCMS を使用するアプリケーションをクラッシュさせたり、任意のコードを実行させたりすることが可能です。（CVE-2009-0723、 CVE-2009-0733）

LittleCMS でメモリリークの欠陥が見つかりました。LittleCMS を使用するアプリケーションが、特別に細工されたイメージを開くために使用された場合に、過剰な量のメモリを使用し、利用可能メモリを使い果たした後にクラッシュする可能性があります。(CVE-2009-0581)

Red Hat は、これらの問題を報告してくれた Google セキュリティチームの Chris Evans 氏に感謝の意を表します。

LittleCMS の全ユーザーは、これらの更新済みパッケージをインストールし、LittleCMS をバージョン 1.18 にアップグレードする必要があります。この更新を有効にするには、lcms ライブラリを使用する実行中のアプリケーションすべてを再起動する必要があります。

LittleCMS に、ヒープベースのバッファオーバーフローの原因になる複数の整数オーバーフローの欠陥、および複数の不充分な入力検証の欠陥が見つかりました。攻撃者がこの欠陥を利用して、特別に細工されたイメージファイルを作成し、被害者がこれを開いた場合に、 LittleCMS を使用するアプリケーションをクラッシュさせたり、任意のコードを実行させたりすることが可能です。（CVE-2009-0723、CVE-2009-0733）

LittleCMS でメモリリークの欠陥が見つかりました。LittleCMS を使用するアプリケーションが、特別に細工されたイメージを開くために使用された場合に、過剰な量のメモリを使用し、利用可能メモリを使い果たした後にクラッシュする可能性があります。（CVE-2009-0581）

この更新を有効にするには、lcms ライブラリを使用する実行中のアプリケーションすべてを再起動する必要があります。

複数のセキュリティ問題を修正する、更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

Java 仮想マシン（JVM）の一時フォントファイルの処理過程に欠陥が見つかりました。悪意のあるアプレットはこの欠陥を利用すると、大量のディスク容量を使用してサービス拒否を引き起こす可能性があります。
（CVE-2006-2426）

LittleCMS（OpenJDK に組み込み済み）にメモリ漏洩の欠陥が見つかりました。カラープロファイルを使用しているアプリケーションは特別に細工された画像を開くことで、過剰なメモリ量を使用し、すべての利用可能なメモリを使用した後でクラッシュさせる可能性があります。（CVE-2009-0581）

LittleCMS のカラープロファイルの処理過程にヒープベースのバッファオーバーフローを引き起こす可能性のある複数の整数オーバーフロー、及び複数の不十分な入力検証の欠陥が見つかりました。攻撃者は、これらの欠陥を利用して特別に細工されたファイルを生成することができます。このファイルを開くと、Java アプリケーションがクラッシュすることや、任意のコードを実行できる可能性もあります。（CVE-2009-0723、CVE-2009-0733）

LittleCMS に NULL ポインターデリファレンスの欠陥が見つかりました。カラープロファイルを使用しているアプリケーションは、特別に細工された画像ファイルを変換する際にクラッシュすることがあります。（CVE-2009-0793）

Java API for XML Web Services（JAX-WS）サービスエンドポイント処理の欠陥により、リモートの攻撃者は JAX-WS サービスエンドポイントをホストしているサーバーアプリケーションでサービス拒否を発生させることができます。
（CVE-2009-1101）

Java Runtime Environment が LDAP 接続を初期化の欠陥により、リモートの許可されたユーザーが LDAP サービスでサービス拒否を引き起こすことができます。（CVE-2009-1093）

Java Runtime Environment LDAP クライアントの欠陥により、 LDAP サーバーの悪意のあるデータが任意のコードを読み込み、 LDAP クライアントで実行されることがあります。（CVE-2009-1094）

Java Runtime Evnvironment unpack200 の機能に複数のバッファオーバーフローの欠陥が見つかりました。信頼できないアプレットが権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、ユーザーが実行しているアプレットの権限でローカルアプリケーションを実行できるようになります。（CVE-2009-1095、CVE-2009-1096）

Java Runtime Environment 仮想マシンコード生成機能における欠陥により、信頼できないアプレットが権限を拡張する可能性があります。信頼できないアプレットが権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、ユーザーが実行しているアプレットの権限でローカルアプリケーションを実行できるようになります。
（CVE-2009-1102）

スプラッシュスクリーンプロセスで、バッファオーバーフローの欠陥が見つかりました。リモートの攻撃者が権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、Java プロセスを実行しているユーザーの権限でローカルアプリケーションを実行できるようになります。（CVE-2009-1097）

GIF 画像の処理過程にバッファオーバーフローの欠陥が見つかりました。リモートの攻撃者が権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、Java プロセスを実行しているユーザーの権限でローカルアプリケーションを実行できるようになります。（CVE-2009-1098）

注：このアドバイザリ、CVE-2009-1095、CVE-2009-1096、 CVE-2009-1102 のアプレットに関する欠陥は、「appletviewer」アプリケーションを呼び出すことにより、 java-1.6.0-openjdk でのみ発生させられます。

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
67831	Oracle Linux 5：java-1.6.0-openjdk（ELSA-2009-0377）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
67819	Oracle Linux 5：lcms（ELSA-2009-0339）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
60550	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の lcms	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
43736	CentOS 5：java-1.6.0-openjdk（CESA-2009:0377）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	critical

検出

プラグインの検索

critical

high

high

critical