リモート Redhat Enterprise Linux 7 ホストに、RHSA-2024:4160 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    IBM Java SE バージョン 8 には、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットが含まれています。

    セキュリティ修正プログラム :

    * IBM JDK: オブジェクトリクエストブローカー (ORB) のサービス拒否 (CVE-2023-38264)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2024:1845-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Java 8.0 Service Refresh 8 Fix Pack 25 に更新してください (bsc#1223470):

    - CVE-2023-38264: オブジェクトリクエストブローカー (ORB) のサービス拒否を修正しました (bsc#1224164)。
    - CVE-2024-21094:「Exceeded _node_regs array」による C2 コンパイルの失敗を修正しました (bsc#1222986)。
    - CVE-2024-21068: C1 コンパイラアドレス生成における整数オーバーフローを修正しました (bsc#1222983)。
    - CVE-2024-21085: Pack200 の過剰なメモリ割り当てを修正しました (bsc#1222984)。
    - CVE-2024-21011: クラッシュを引き起こす長い例外メッセージを修正しました (bsc#1222979)。
    - CVE-2024-21012: HTTP/2 クライアントの不適切な逆 DNS 検索を修正しました (bsc#1222987)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている IBM Java のバージョンは、7.1 < 7.1.5.22 / 8.0 < 8.0.8.25 より前です。したがって、IBM Security Update 2024 年 5 月のアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - IBM SDK、Java Technology Edition の Object Request Broker (ORB) 7.1.0.0 から 7.1.5.21 および 8.0.0.0 から 8.0.8.21 は、JEP 290 MaxRef と MaxDepth の逆シリアル化フィルターが不適切に強制されているため、特定の状況でサービス拒否攻撃に脆弱です。IBM X-Force ID: 260578。
    (CVE-2023-38264)

  - Eclipse OpenJ9 リリースバージョン 0.44.0 より前および 0.13.0 より後では、JVM オプションで実行する場合
    - Xgc:concurrentScavenge は、保護されたストレージ [1] のハードウェアとソフトウェアサポートを備えた IBM Z プラットフォームの System.arrayCopy に対して生成されたシーケンスです。これにより、Concurrent Scavenge のガベージがコレクションサイクルがアクティブで、arraycopy のソースメモリ領域と宛先メモリ領域が重複した状態で arraycopy シーケンスを実行する際に、不正確な長さの値でバッファへのアクセスが可能になります。これにより、配列範囲の終端を超えたアドレスの読み取りと書き込みが可能になります。(CVE-2024-3933)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされた IBM WebSphere eXtreme Scale のバージョンは、8.6.1.6 より前です。したがって、7166876 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Eclipse OpenJ9 リリースバージョン 0.44.0 より前および 0.13.0 より後では、JVM オプションで実行する場合
    - Xgc:concurrentScavenge は、保護されたストレージ [1] のハードウェアとソフトウェアサポートを備えた IBM Z プラットフォームの System.arrayCopy に対して生成されたシーケンスです。これにより、Concurrent Scavenge のガベージがコレクションサイクルがアクティブで、arraycopy のソースメモリ領域と宛先メモリ領域が重複した状態で arraycopy シーケンスを実行する際に、不正確な長さの値でバッファへのアクセスが可能になります。これにより、配列範囲の終端を超えたアドレスの読み取りと書き込みが可能になります。(CVE-2024-3933)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u401、8u401-perf、11.0.22、17.0.10、21.0.2、22、Oracle GraalVM for JDK: 17.0.10、21.0.2、Oracle GraalVM Enterprise Edition: 20.3.13および 21.3.9です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21094)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 同時実行性)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u401、8u401-perf、11.0.22、Oracle GraalVM Enterprise Edition: 20.3.13および 21.3.9です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。
    注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。
    (CVE-2024-21085)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの CentOS Linux 7 ホストには、RHSA-2024:4160 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - IBM SDK、Java Technology Edition の Object Request Broker (ORB) 7.1.0.0 から 7.1.5.21 および 8.0.0.0 から 8.0.8.21 は、JEP 290 MaxRef と MaxDepth の逆シリアル化フィルターが不適切に強制されているため、特定の状況でサービス拒否攻撃に脆弱です。IBM X-Force ID: 260578。
    (CVE-2023-38264)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:3685 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    IBM Java SE バージョン 8 には、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットが含まれています。

    この更新プログラムで、IBM Java SE 8 がバージョン 8 SR8-FP15 にアップグレードされます。

    セキュリティ修正プログラム: 

    * IBM JDK: オブジェクトリクエストブローカー (ORB) のサービス拒否 (CVE-2023-38264)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
201083	RHEL 7 : java-1.8.0-ibm (RHSA-2024:4160)	Nessus	Red Hat Local Security Checks	2024/6/27	2025/8/15	high
198123	SUSE SLES12 セキュリティ更新 : java-1_8_0-ibm (SUSE-SU-2024:1845-1)	Nessus	SuSE Local Security Checks	2024/5/30	2025/8/15	high
195219	IBM Java 7.1 < 7.1.5.22 / 8.0 < 8.0.8.25 の複数の脆弱性	Nessus	Misc.	2024/5/9	2025/1/10	high
206334	IBM WebSphere eXtreme Scale 8.6.1.0 < 8.6.1.6 (7166876)	Nessus	Web Servers	2024/8/29	2025/1/10	high
201097	CentOS 7 : java-1.8.0-ibm (RHSA-2024:4160)	Nessus	CentOS Local Security Checks	2024/6/27	2025/8/15	high
200166	RHEL 8 : java-1.8.0-ibm (RHSA-2024:3685)	Nessus	Red Hat Local Security Checks	2024/6/6	2025/8/15	high

検出

プラグインの検索

high

high

high

high

high

high