Bouncy CastleのLegionによる報告:

リリース1.60がダウンロード可能になりました。

CVE-2018-1000180: 低レベルAPIのみを使用して行われた場合、RSAキーペア生成の素数性テストに関する問題。

CVE-2018-1000613: BDS状態情報によるXMSS/XMSS^MT秘密鍵の逆シリアル化におけるクラスチェックの欠如。

以下のためのセキュリティ修正 CVE-2018-1000613

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

bouncycastleのこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2018-1000613：クラスまたはコードを選択する際の外部制御入力の使用（「安全でないリフレクション」）を修正します（boo#1100694）

  - CVE-2017-13098：軽量APIを使用しない場合のBleichenbacher oracleに対する修正（boo#1072697）。

リモートホストにインストールされているOracle WebLogic Serverのバージョンは、複数の脆弱性による影響を受けます。- Javaセキュリティマネージャーが設定されていないとき、10.12.1.1より前のApache DerbyのSqlXmlUtilコードにおけるXML外部エンティティ（XXE）の脆弱性により、XmlVTIとXMLのデータタイプを含むベクトルを通じて、コンテキスト依存の攻撃者が任意のファイルを読み取ったり、サービス拒否（リソース消費）を引き起こしたりする可能性があります。（CVE-2015-1832）- Bouncy Castle BC 1.54～1.59、BC-FJA 1.0.0、BC-FJA 1.0.1およびそれ以前のバージョンでは、RSAキーペアジェネレーターへの低レベルインターフェイスに欠陥があります。特に確実性が高められた低レベルAPIで生成されたRSAキーペアでは、M-Rテストが予想より少なくなる場合があります。これは、バージョンBC 1.60ベータ4以降、BC-FJA 1.0.2以降で修正される予定です。（CVE-2018-1000180）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS Core Components）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。容易に悪用可能な脆弱性により、権限の高い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、重要なデータやOracle WebLogic Serverがアクセスできるすべてのデータを権限なしで作成、削除、変更される可能性があることに加えて、承認なしにOracle WebLogic Serverがアクセスできるデータのサブセットに読み取りアクセスを実行したり、Oracle WebLogic Serverでハングを引き起こしたり、頻繁にクラッシュを繰り返す（完全なDOS）可能性があります。（CVE-2019-2452）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS Core Components）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。悪用が難しい脆弱性ですが、認証されていない攻撃者がT3を介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。脆弱性があるのはOracle WebLogic Serverですが、攻撃により別の製品にも重大な影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、一部のOracle WebLogic Serverのアクセス可能データに対する権限のない更新アクセス、挿入アクセス、削除アクセス、さらに、Oracle WebLogic Serverのアクセス可能データのサブセットに対する権限のない読み取りアクセスにつながり、権限なくOracle WebLogic Serverの部分的サービス拒否（部分的DOS）を引き起こす可能性があります。（CVE-2019-2418）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Web Services）。影響を受けるサポート対象のバージョンは、10.3.6.0です。容易に悪用可能な脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Serverのアクセス可能データのサブセットに対する権限のない読み取りアクセスにつながり、権限なくOracle WebLogic Serverの部分的サービス拒否（部分的DOS）を引き起こす可能性があります。（CVE-2019-2395）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：アプリケーションコンテナ - JavaEE）。影響を受けるサポート対象のバージョンは、12.2.1.3です。容易に悪用可能な脆弱性により、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogicサーバーがアクセスできるサブセットのデータが、権限なしで読み取りアクセスされる可能性があります。（CVE-2019-2441）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Deployment）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。容易に悪用可能な脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Serverがアクセスできるいくつかのデータが、権限なしで更新、挿入または削除される可能性があります。（CVE-2019-2398) - 1.60より前のBouncy Castle Java Cryptography APIバージョンは、CWE-470の影響を受けます。XMSS/XMSS^MT秘密鍵の逆シリアル化ルーチンでクラスやコードを選択するための外部制御入力（「安全でないリフレクション」）の使用における欠陥。これにより、攻撃者が任意のコードを強制する可能性があります。悪意のあるコマンドを実行することが可能な、予期しないクラスへの参照を持つハードコードされた秘密鍵オブジェクトを使用して攻撃が仕掛けられます。（CVE-2018-1000613）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Web Services）。影響を受けるサポート対象のバージョンは、12.1.3.0および12.2.1.3です。容易に悪用可能な脆弱性により、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータへの認証されていないアクセスが可能になったり、Oracle WebLogicサーバーがアクセスできるすべてのデータに完全にアクセスできるようになったりします。（CVE-2018-3246）- Apache Derby 10.3.1.4から10.14.1.0では、特別に細工されたネットワークパケットを使用することによって、場所とコンテンツがユーザーの管理下にあるデータベースを起動するようにDerby Network Serverにリクエストされる可能性があります。Derby Network Serverの実行にJavaセキュリティマネージャーポリシーファイルが使用されていない場合に、攻撃が成功します。サーバーがポリシーファイルを使用している場合に、攻撃を成功させるには、ポリシーファイルによってデータベースの場所の読み取りが許可されている必要があります。影響を受けるリリースで配布されるデフォルトのDerby Network Serverポリシーファイルでは、デフォルトのNetwork Serverポリシーとしてアクセス権を与えるポリシーが含まれるため、攻撃の実行が可能になります。（CVE-2018-1313）

bouncycastleのこの更新プログラムでは、以下の問題が修正されています：

修正されたセキュリティ問題：

  - CVE-2018-1000613：クラスまたはコードを選択する際の外部制御入力の使用（「安全でないリフレクション」）を修正します（boo#1100694）

このbouncycastleの更新では、次の問題が修正されます：

修正されたセキュリティ問題：

  - CVE-2018-1000613：クラスまたはコードを選択する際の外部制御入力の使用（「安全でないリフレクション」）を修正します（boo#1100694）

  - CVE-2017-13098：軽量APIを使用しない場合のBleichenbacher oracleに対する修正（boo#1072697）。

このbouncycastleの更新では、次の問題を修正します：

1.60 へのバージョン更新：

  - CVE-2018-1000613：クラスまたはコードを選択するためのExternally-ControlledInputの使用（boo#1100694）

  - リリースノート：
    http://www.bouncycastle.org/releasenotes.html

1.59 へのバージョン更新：

  - CVE-2017-13098：軽量APIを使用しない場合のBleichenbacher oracleに対する修正（boo#1072697）。

  - リリースノート：
    http://www.bouncycastle.org/releasenotes.html

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111092	FreeBSD：Bouncy Castle Crypto API内の複数のセキュリティ欠陥（fe93803c-883f-11e8-9f0c-001b216d295b）	Nessus	FreeBSD Local Security Checks	2018/7/16	2024/9/4	critical
120867	Fedora 28：bouncycastle（2018-e6894349c9）	Nessus	Fedora Local Security Checks	2019/1/3	2024/6/28	critical
111428	openSUSEセキュリティ更新プログラム：bouncycastle（openSUSE-2018-776）	Nessus	SuSE Local Security Checks	2018/7/30	2024/9/2	critical
121226	Oracle WebLogic Serverの複数の脆弱性（2019年1月CPU）	Nessus	Misc.	2019/1/17	2022/12/5	critical
111544	openSUSEセキュリティ更新プログラム：bouncycastle（openSUSE-2018-794）	Nessus	SuSE Local Security Checks	2018/8/6	2024/8/26	critical
123233	openSUSEセキュリティ更新プログラム：bouncycastle（openSUSE-2019-546）	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/11	critical
136317	openSUSEセキュリティ更新プログラム：bouncycastle（openSUSE-2020-607）	Nessus	SuSE Local Security Checks	2020/5/4	2024/3/13	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical