リモート AIX ホスト上にインストールされている Java SDK のバージョンは、複数の脆弱性に影響を受けます。

- Global Security Kit（GSKit）には、TLS 状態移行の不適切な制限による欠陥が含まれています。中間者攻撃者がこれを悪用して、セッションのセキュリティをダウングレードすることで EXPORT_RSA 暗号を使用する可能性があります。
 これにより、攻撃者はより簡単に暗号化を突破し、暗号化ストリームをモニターまたは改ざんすることが可能です。(CVE-2015-0138)

- 詳細不明の欠陥が存在しており、攻撃者は昇格された権限を用いて、セキュリティマネージャー下で動作するコードを実行することが可能です。（CVE-2015-0192）

- FREAK（RSA-EXPORT キーに対するファクター攻撃）と呼ばれるセキュリティ機能のバイパスの脆弱性が存在します。これは、512 ビッド以下のキーで弱い EXPORT_RSA 暗号化パッケージがサポートされているため、存在します。中間者攻撃により、EXPORT_RSA 暗号化パッケージを使用するように SSL/TLS 接続をダウングレードすることができ、これは短時間でファクタリング可能であり、攻撃者がトラフィックを傍受したり復号したりするおそれがあります。(CVE-2015-0204)

- 2D、Beans、Deployment、JCE、JSSEなどの複数の Java サブコンポーネントおよびツールに、複数の詳細不明の脆弱性が存在します。（CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491）

- 詳細不明の欠陥が存在しており、リモートの攻撃者は権限チェックをバイパスし、機密情報へのアクセスを取得することが可能です。(CVE-2015-1914)

- Socket Extension Provider の TLS および SSL 接続の処理による、詳細不明の欠陥が存在します。リモートの攻撃者が、これを悪用することにより、サービス拒否を引き起こす可能性があります。
 (CVE-2015-1916)

- 初期化フェーズの RC4 暗号化アルゴリズムによる、キーデータと状態データの不適切な組み合わせにより、Bar Mitzvah として知られるセキュリティ機能バイパスの脆弱性が存在しています。中間者攻撃を行う攻撃者はこれを悪用して、LSB 値を用いたブルートフォース攻撃によりトラフィックを復号化できます。(CVE-2015-2808)

The version of Java SDK installed on the remote AIX host is affected by multiple vulnerabilities :

  - The Global Security Kit (GSKit) contains a flaw due to     improper restrictions of TLS state transitions. A     man-in-the-middle attacker can exploit this to downgrade     the security of a session to use EXPORT_RSA ciphers.
    This allows the attacker to more easily break the     encryption and monitor or tamper with the encrypted     stream. (CVE-2015-0138)

  - An unspecified flaw exists that allows an attacker to     execute code running under a security manager with     elevated privileges.(CVE-2015-0192)

  - A security feature bypass vulnerability, known as FREAK     (Factoring attack on RSA-EXPORT Keys), exists due to the     support of weak EXPORT_RSA cipher suites with keys less     than or equal to 512 bits. A man-in-the-middle attacker     may be able to downgrade the SSL/TLS connection to use     EXPORT_RSA cipher suites which can be factored in a     short amount of time, allowing the attacker to intercept     and decrypt the traffic. (CVE-2015-0204)

  - Multiple unspecified vulnerabilities exist in multiple     Java subcomponents including 2D, Beans, Deployment, JCE,     JSSE, and tools. (CVE-2015-0458, CVE-2015-0459,     CVE-2015-0469, CVE-2015-0477, CVE-2015-0478,     CVE-2015-0480, CVE-2015-0486, CVE-2015-0488,     CVE-2015-0491)

  - An unspecified flaw exists that allows a remote attacker     to bypass permission checks and gain access to sensitive     information. (CVE-2015-1914)

  - An unspecified flaw exists due to the Socket Extension     Provider's handling of TLS and SSL connections. A remote     attacker can exploit this to cause a denial of service.
    (CVE-2015-1916)

  - A security feature bypass vulnerability exists, known as     Bar Mitzvah, due to improper combination of state data     with key data by the RC4 cipher algorithm during the     initialization phase. A man-in-the-middle attacker can     exploit this, via a brute-force attack using LSB values,     to decrypt the traffic. (CVE-2015-2808)

远程 AIX 主机上安装的 Java SDK 版本受到多种漏洞影响：

- Global Security Kit (GSKit) 中包含对 TLS 状态转换的限制不正确造成的缺陷。中间人攻击者可利用此缺陷降级会话的安全性以使用 EXPORT_RSA 密码。
 这允许攻击者更轻松地破解加密和监控或篡改加密流。(CVE-2015-0138)

- 存在不明缺陷，允许攻击者以升级的权限执行安全管理器下运行的代码。(CVE-2015-0192)

- 由于支持密钥小于或等于 512 位的弱 EXPORT_RSA 加密套件，存在安全功能绕过漏洞（称为 FREAK，可对 RSA 出口级密钥进行分解攻击）。中间人攻击者可将 SSL/TLS 连接降级为使用能够在短时间内分解的 EXPORT_RSA 加密套件，从而允许攻击者拦截和解密流量。(CVE-2015-0204)

- 多种 Java 子组件（包括 2D、Bean、Deployment、JCE、JSSE 和 Tools）中存在多种不明漏洞。（CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491）

- 存在不明缺陷，远程攻击者可利用此缺陷绕过权限检查并获取敏感信息的访问权限。(CVE-2015-1914)

- 存在套接字扩展提供程序对 TLS 和 SSL 连接的处理造成的不明缺陷。远程攻击者可利用此缺陷造成拒绝服务。
 (CVE-2015-1916)

- 由于在初始化阶段中，状态数据与使用 RC4 加密算法的密钥数据组合不当，存在安全功能绕过漏洞，也称 Bar Mitzvah。中间人攻击者能够利用此漏洞，使用 LSB 值发动暴力破解，以解密流量。(CVE-2015-2808)

遠端 AIX 主機上安裝的 Java SDK 版本受到多個弱點影響：

- Global Security Kit (GSKit) 中有一個瑕疵，這是因為不當限制 TLS 狀態轉換所致。攔截式攻擊者可惡意利用此瑕疵，將工作階段的安全性降級，藉此使用 EXPORT_RSA 密碼。
 這讓攻擊者更容易破解加密，並監控或或竄改加密的資料流。(CVE-2015-0138)

- 存在一個不明瑕疵，會讓攻擊者得以使用提升的權限來執行安全性管理員中執行的程式碼。(CVE-2015-0192)

- 存在一個稱為 FREAK (RSA-EXPORT 金鑰的分解攻擊) 的安全性功能繞過弱點，這是因為支援具有小於或等於 512 位元金鑰的弱式 EXPORT_RSA 加密套件所致。攔截式攻擊者可降級 SSL/TLS 連線以使用 EXPORT_RSA 加密套件，該套件可在短時間內遭到分解，進而允許攻擊者攔截和解密流量。(CVE-2015-0204)

- 多個 Java 子元件中存有多個不明弱點，包括 2D、Beans、Deployment、JCE、JSSE 和多種工具。(CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491)

- 存在一個不明瑕疵，會讓遠端攻擊者得以繞過權限檢查，並取得敏感資訊的存取權。(CVE-2015-1914)

- 存在一個不明瑕疵，這是因為 Socket Extension Provider 對 TLS 和 SSL 連線的處理所致。遠端攻擊者可加以惡意利用，進而引發拒絕服務。
 (CVE-2015-1916)

- 存在一個稱為 Bar Mitzvah 的安全性功能繞過弱點，這是因為 RC4 加密演算法在初始化階段不當結合狀態資料和金鑰資料所導致。攔截式攻擊者可惡意利用這點，透過使用 LSB 值的暴力密碼破解攻擊，將流量解密。(CVE-2015-2808)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
84087	AIX Java アドバイザリ：java_april2015_advisory.asc（Bar Mitzvah）（FREAK）	Nessus	AIX Local Security Checks	2015/6/10	2023/4/21	critical
84087	AIX Java Advisory : java_april2015_advisory.asc (Bar Mitzvah) (FREAK)	Nessus	AIX Local Security Checks	2015/6/10	2023/4/21	critical
84087	AIX Java 公告：java_april2015_advisory.asc (Bar Mitzvah) (FREAK)	Nessus	AIX Local Security Checks	2015/6/10	2023/4/21	critical
84087	AIX Java 公告：java_april2015_advisory.asc (Bar Mitzvah) (FREAK)	Nessus	AIX Local Security Checks	2015/6/10	2023/4/21	critical

検出

プラグインの検索

critical

critical

critical

critical