複数のセキュリティ問題を修正する更新済みの java-1.6.0-openjdk パッケージが、 Red Hat Enterprise Linux 5 で利用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

IBM 1.6.0 Java リリースには、IBM Java 2 Runtime Environment および IBM Java 2 ソフトウェア開発キットが含まれています。

Java XSLT 処理クラスに欠陥が見つかりました。信頼されないアプリケーションまたはアプレットにより、サービス拒否が引き起こされたり、 JRE を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。
(CVE-2008-1187)

Java Web Start（JWS）にいくつかのバッファオーバーフローの欠陥が見つかりました。信頼できない JNLP アプリケーションがローカルファイルにアクセスしたり、または JRE を実行しているユーザーがアクセス可能なローカルアプリケーションを実行する可能性があります。（CVE-2008-1188、CVE-2008-1189、CVE-2008-1190、 CVE-2008-1191、CVE-2008-1196）

Java プラグインに欠陥が見つかりました。リモートの攻撃者が、同一生成元ポリシーをバイパスし、JRE を実行しているユーザの権限で任意のコードを実行する可能性があります。(CVE-2008-1192)

JRE イメージ解析ライブラリに欠陥が見つかりました。信頼できないアプリケーションまたはアプレットにより、サービス拒否が引き起こされたり、JRE を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。(CVE-2008-1193)

JRE カラーマネージメントライブラリに欠陥が見つかりました。信頼されないアプリケーションまたはアプレットにより、サービス拒否（JVM のクラッシュ）が発生させられる可能性があります。
(CVE-2008-1194)

JRE で、信頼されない JavaScript コードが Java API を使用してローカルネットワーク接続を作成することが可能でした。リモートの攻撃者が、この欠陥を利用して、ローカルネットワークサービスにアクセスすることが可能です。(CVE-2008-1195)

java-1.6.0-ibm の全ユーザーは、IBM 1.6.0 SR1 Java リリースが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

いくつかのセキュリティの問題を修正する更新済みの java-1.6.0-bea パッケージが、Red Hat Enterprise Linux 5 Supplementary で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

BEA WebLogic JRockit 1.6.0_03 JRE および SDK は BEA WebLogic JRockit 仮想マシン 1.6.0_03 を含んでおり、Java 6 Platform、Standard Edition、v1.6.0 について認定済みです。

Java XML 解析コードは、「external general entities」プロパティが「FALSE」に設定されていても、外部エンティティの参照を処理しました。これによって、リモートの攻撃者が XML 外部エンティティ（XXE）攻撃を行い、サービス拒否を引き起こしたり、制限されているリソースへのアクセスを取得することができました。(CVE-2008-0628)

Java XSLT 処理クラスに欠陥が見つかりました。信頼されないアプリケーションまたはアプレットにより、サービス拒否が引き起こされたり、 JRE を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。
(CVE-2008-1187)

JRE イメージ解析ライブラリに欠陥が見つかりました。信頼されないアプリケーションまたはアプレットにより、サービス拒否が引き起こされたり、 JRE を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。(CVE-2008-1193)

JRE カラーマネージメントライブラリに欠陥が見つかりました。信頼されないアプリケーションまたはアプレットにより、サービス拒否（JVM のクラッシュ）が発生させられる可能性があります。
(CVE-2008-1194)

上記で一覧されているアプレットに関する脆弱性は、「appletviewer」アプリケーションを呼び出すことにより、java-1.6.0-bea でのみ発生します。

java-1.6.0-bea のユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。

JRE における欠陥により、信頼できないアプリケーションまたはアプレットの権限昇格の可能性がありました。これは、リモートの攻撃者によりローカルファイルのアクセスまたはJRE を実行しているユーザーがアクセスできるローカルアプリケーションの実行に悪用される可能性があります（CVE-2008-1185、CVE-2008-1186）

Java XSLT 処理クラスに欠陥が見つかりました。信頼されないアプリケーションまたはアプレットにより、サービス拒否が引き起こされたり、 JRE を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。
（CVE-2008-1187）

Java Web Start（JWS）にいくつかのバッファオーバーフローの欠陥が見つかりました。信頼できない JNLP アプリケーションがローカルファイルにアクセスしたり、JRE を実行しているユーザーがアクセス可能なローカルアプリケーションを実行する可能性があります。（CVE-2008-1188、CVE-2008-1189、CVE-2008-1190、 CVE-2008-1191、CVE-2008-1196）

Java プラグインに欠陥が見つかりました。リモートの攻撃者が、同一生成元ポリシーをバイパスし、JRE を実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2008-1192）

JRE イメージ解析ライブラリに欠陥が見つかりました。信頼されないアプリケーションまたはアプレットにより、サービス拒否が引き起こされたり、 JRE を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2008-1193）

JRE カラーマネージメントライブラリに欠陥が見つかりました。信頼されないアプリケーションまたはアプレットにより、サービス拒否（JVM のクラッシュ）が発生させられる可能性があります。
（CVE-2008-1194）

JRE で、信頼されない JavaScript コードが Java API を使用してローカルネットワーク接続を作成することが可能でした。リモートの攻撃者が、この欠陥を利用して、ローカルネットワークサービスにアクセスすることが可能です。（CVE-2008-1195）

ローカル監視を有効にしたときに、 Java Management Extension（JMX）管理エージェントで脆弱性が見つかりました。これにより、リモートの攻撃者が無効な操作を実行することが可能でした。（CVE-2008-3103）

署名のないアプレットを持つ複数の脆弱性を報告しました。リモートの攻撃者が、署名のないアプレットを悪用して、アプレットを実行しているホストで実行しているローカルホストサービスに接続することが可能です。（CVE-2008-3104）

信頼できないアプリケーションまたはアプレットによって、Java Runtime Environment（JRE）の脆弱性が発生する可能性があります。リモートの攻撃者が、ローカルファイルの読み書き、またはローカルプログラムの実行など、信頼できないアプレットの拡張された権限を付与する可能性があります。（CVE-2008-3107）

Java Web Start における複数のバッファオーバーフローの脆弱性が報告されました。これらの脆弱性により、信頼できない Java Web Start アプリケーションが権限を昇格できる可能性があります。その結果、ローカルファイルの読み書き権限を自身に付与したり、信頼できないアプリケーションを実行しているユーザーがアクセスできるローカルアプリケーションを実行する可能性があります。（CVE-2008-3111）

Java Web Start における 2 つのファイル処理の脆弱性が見つかりました。信頼できない Java Web Start アプリケーションを使用するリモートの攻撃者が、信頼できないアプリケーションを実行しているユーザーの権限で、任意のファイルを作成したり、削除する可能性がありました。（CVE-2008-3112、CVE-2008-3113）

信頼できないアプリケーションを処理したときの Java Web Start の脆弱性が報告されました。攻撃者が、キャッシュロケーションなどの機密情報を取得することが可能でした。（CVE-2008-3114）

リモートホストにインストールされているバージョンの Sun Java Runtime Environment（JRE）は、以下の 1 つ以上のセキュリティ問題の影響を受けます。

  - JRE VM での 2 つの脆弱性は、それぞれ独立して、信頼できないアプリケーションやアプレットを Web サイトからダウンロードし、その権限を昇格することを可能にする場合があります（233321）。

  -  XSLT 変換を処理するとき、Web サイトからダウンロードした信頼できないアプリケーションまたはアプレットは、その権限を昇格するか、JRE をクラッシュできる場合があります（233322）。

  - 3 つのバッファオーバーフローが、Java Web Start にあります（233323）。

  - Java プラグインの脆弱性により、アプレットを Web サイトからダウンロードして、同じ起源のポリシーをバイパスし、ローカルアプリケーションを実行できることがあります（233324）。

  - JRE 画像処理ライブラリでの複数の脆弱性により、信頼できないアプリケーションまたはアプレットが自身の特権を昇格するか、JRE をクラッシュできることがあります（233325）。

  -  JRE の脆弱性により、信頼できない JavaScript コードが、Java API を介して自身の権限を昇格できることがあります（233326）。

  - まだ特定されていないバッファオーバーフローが、Java Web Start にあります（233327）。

リモートホストにインストールされているバージョンの Sun Java Runtime Environment（JRE）は、以下の 1 つ以上のセキュリティ問題の影響を受けます。

- JRE VM での 2 つの脆弱性は、それぞれ独立して、信頼できないアプリケーションやアプレットを Web サイトからダウンロードし、その権限を昇格することを可能にする場合があります（233321）。

- XSLT 変換を処理するとき、Web サイトからダウンロードした信頼できないアプリケーションまたはアプレットは、その権限を昇格するか、JRE をクラッシュできる場合があります（233322）。

- 3 つのバッファオーバーフローが、Java Web Start にあります（233323）。

- Java プラグインの脆弱性により、Web サイトからダウンロードされたアプレットが、同一生成元ポリシーをバイパスし、ローカルアプリケーションを実行できる可能性があります（233324）。

- JRE 画像処理ライブラリでの複数の脆弱性により、信頼できないアプリケーションまたはアプレットが自身の特権を昇格するか、JRE をクラッシュできることがあります（233325）。

- JRE の脆弱性により、信頼できない JavaScript コードが、Java API を介して自身の権限を昇格できることがあります（233326）。

- まだ特定されていないバッファオーバーフローが、Java Web Start にあります（233327）。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
63854	RHEL 5：java-1.6.0-ibm（RHSA-2008:0267）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63852	RHEL 5：java-1.6.0-bea（RHSA-2008:0245）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
60440	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の java（jdk 1.5.0）	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
31356	Sun Java JRE の複数の脆弱性（233321-233327）	Nessus	Windows	2008/3/6	2022/4/11	high
64827	Sun Java JRE の複数の脆弱性（233321-233327）（Unix）	Nessus	Misc.	2013/2/22	2022/4/11	high

検出

プラグインの検索

high

high

critical

high

high