リモートホストは、GLSA-201908-10（Oracle JDK/JRE：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がOracleのJDKおよびJREソフトウェアスイートで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：詳細については、記載されているCVE識別番号を参照してください。回避策：現時点では、既知の回避策はありません。

このjava-11-openjdkの更新では、次の問題が修正されます：

Upstreamタグjdk-11.0.9-11に対する更新（Oracle 2018年10月CPU）

セキュリティ修正：

  - S8202936、CVE-2018-3183、bsc#1112148：スクリプトエンジンのサポートを改善します

  - S8199226、CVE-2018-3169、bsc#1112146：フィールドアクセスを改善します

  - S8199177、CVE-2018-3149、bsc#1112144：JNDI検索強化します

  - S8202613、CVE-2018-3180、bsc#1112147：TLS接続の安定性を改善します

  - S8208209、CVE-2018-3180、bsc#1112147：TLS接続の安定性を再び改善します

  - S8199172、CVE-2018-3150、bsc#1112145：jar属性チェックを改善します

  - S8200648、CVE-2018-3157、bsc#1112149：midiコードをより安定させます

  - S8194534、CVE-2018-3136、bsc#1112142：マニフェストの改善されたサポート

  - S8208754、CVE-2018-3136、bsc#1112142：JDK-8194534の修正に対し更新が必要です

  - S8196902、CVE-2018-3139、bsc#1112143：HTTPリダイレクトの改善

多層セキュリティの修正：

  - S8194546：FileManagersがより厳格になりました

  - S8195874：jar仕様の遵守を強化します

  - S8196897：PRNGサポートを改善します

  - S8197881：StringBuilderサポートの強化

  - S8201756：暗号入力を改善します

  - S8203654：暗号状態の更新を改善します

  - S8204497：小数のフォーマットを改善します

  - S8200666：LDAPサポートを改善します

  - S8199110：インターネットアドレスに対処します

Upstreamタグjdk-11+28に更新します（OpenJDK 11 rc1）

  - S8207317：SSLEngineネゴシエーション失敗例外動作がfail-fastからfail-lazyに変更されました

  - S8207838：AArch64：JNI呼び出しでの浮動小数点レジスターの復元が不適切です

  - S8209637：[s390x]インタープリターがネイティブ呼び出しの後に結果ハンドラーを呼び出しません

  - S8209670：デストラクターでコードバッファを解放するCompilerThreadは安全ではありません

  - S8209735：デフォルトでavx512を無効にします

  - S8209806：javase11を参照するようにAPIドキュメントを更新する必要があります

  -「-internal」postfixなしでバージョンを報告します

  - gdkに対してビルドせず、アクセシビリティがgtkの特定のバージョンに依存するようにします

Upstreamタグjdk-11+27に更新します

  - S8031761：[テストバグ] JDK-8026328のリグレッションテストを追加します

  - S8151259：[テストバグ] -Xcompで実行すると、nsk/jvmti/RedefineClasses/redefclass030が「unexpected values of outer fields of the class」で失敗します

  - S8164639：ユーザー提供のNSSライブラリを使用するようにPKCS11テストを構成します

  - S8189667：Desktop#moveToTrashが必要としている「<<ALL FILES>>」FilePermissionは正しくありません

  - S8194949：[Graal] gc/TestNUMAPageSize.javaが

    -XcompでOOMで失敗します

  - S8195156：[Graal] serviceability/jvmti/GetModulesInfo/ /JvmtiGetAllModulesTest.javaがXcompモードのGraalで失敗します

  - S8199081：[テストバグ] compiler/linkage/LinkageErrors.javaは2回実行すると失敗します

  - S8201394：java.seモジュールのサマリーを更新し、java.se.eeモジュールの削除を反映します

  - S8204931：Linuxでアルファを使用する色が不適切に描画されます

  - S8204966：[テストバグ] hotspot/test/compiler/whitebox/ /IsMethodCompilableTest.javaテストが

    -XX：CompileThreshold=1で失敗します

  - S8205608：二次的なランタイムの動作を防ぐため、ThreadReferenceImpl.cの「frames()」を修正します

  - S8205687：TimeoutHandlerにより巨大なコアファイルが生成されます

  - S8206176：一時的なtls13VNフィールドを削除します

  - S8206258：[テストエラー] NSSライブラリが見つからない場合、sun/security/pkcs11テストが失敗します

  - S8206965：java/util/TimeZone/Bug8149452.javaがde_DEおよびja_JPロケールで失敗していました。

  - S8207009：TLS 1.3ハーフクローズと同期の問題

  - S8207046：arm32 vm crash：C1 arm32プラットフォーム関数のパラメーターの型の不一致

  - S8207139：Windows 2016/10でNMTが有効になっていません

  - S8207237：SSLSocket#setEnabledCipherSuitesが空の文字列を受け入れます

  - S8207355：ComputeLinearScanOrder：：compute_dominatorでC1コンパイルがハングアップします

  - S8207746：C2：LuceneがAVX512命令でクラッシュします

  - S8207765：HeapMonitorTest.javaが断続的に失敗します

  - S8207944：java.lang.ClassFormatError：クラスファイルテストの最後にある余分なバイトはJVMS 4.7.1の違反の可能性があります

  - S8207948：JDK 11 L10nリソースファイルの更新 - msg drop 10

  - S8207966：content-lengthのないHttpClient応答は本文を返しません

  - S8208125：JOptionPaneテキスト入力ダイアログにテキストを入力できません

  - S8208164：（str）String：：行の指定を改善します

  - S8208166：JDK-8207029の後にデフォルトのTrustManagerFactoryでカスタムSSLEngineを未だに使用できません

  - S8208189：ProblemList compiler/graalunit/JttThreadsTest.java

  - S8208205：「プロセスへのアタッチ中のエラー：thread_dbエージェントを作成できません」により失敗するProblemListテスト

  - S8208226：ProblemList com/sun/jdi/BasicJDWPConnectionTest.java

  - S8208251：serviceability/jvmti/HeapMonitor/MyPackage/ /HeapMonitorGCCMSTest.java がLinux-X64で断続的に失敗します

  - S8208305：ProblemList compiler/jvmci/compilerToVM/GetFlagValueTest.java

  - S8208347：ProblemList compiler/cpuflags/TestAESIntrinsicsOnSupportedConfig.jav a

  - S8208353：JDK 11をlibpng 1.6.35へアップグレードします

  - S8208358：テストで言及されたバグIDを更新します

  - S8208370：ReservedStackテストの@requiresの誤字を修正します

  - S8208391：HTTP Client APIで応答タイムアウトと接続タイムアウトを区別します

  - S8208466：harfbuzzシェーピングの潜在的なメモリリークを修正します。

  - S8208496：TLSの同時動作を検証する新しいテスト。

  - S8208521：ProblemListさらに多くのテストが「プロセスへのアタッチ中のエラー：thread_dbエージェントを作成できません」により失敗する

  - S8208640：[a11y] [macos]キーボードを使用してラジオグループ内のラジオボタン間を移動できません

  - S8208663：JDK 11 L10nリソースファイルの更新 - msg drop 20

  - S8208676：NetworkPerformanceInterface：：NetworkPerformance：：network
    _utilizationでのNULLチェックの欠落とリソース漏洩

  - S8208691：jdk.includeInExceptionsセキュリティプロパティを強化します

  - S8209011：[テストバグ] AArch64：sun/security/pkcs11/Secmod/ /TestNssDbSqlite.javaがaarch64プラットフォームで失敗します

  - S8209029：ProblemList jdk-11および25のテストで「プロセスへのアタッチ中のエラー：thread_dbエージェントを作成できません」により失敗するテスト

  - S8209149：[テストバグ] runtime/RedefineTests/ /RedefineRunningMethods.javaは、より長いタイムアウトを必要とします

  - S8209451：jdk 11マイルストーンをFCSに変更してください

  - S8209452：VerifyCACerts.javaが「At least one cacert test failed」で失敗します

  - S8209506：Google Trust Services GlobalSignのルート証明書を追加します

  - S8209537：JDK-8164639の後、依存関係が欠落しているために2つのセキュリティテストが失敗します

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、11は更新プログラム1、8は更新プログラム191、7は更新プログラム201、6は更新プログラム211より前です。したがって、複数の脆弱性による影響を受けます：-Oracle Java SEのJava SE Embeddedコンポーネントでは、Deployment（libpng）サブコンポーネントに詳細不明な脆弱性があるため、HTTP経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2018-13785）-Oracle Java SEのJava SE Embeddedコンポーネントでは、Hotspotサブコンポーネントに詳細不明な脆弱性があるため、ネットワークにアクセスできる認証されていないリモートの攻撃者が複数のプロトコル経由でJava SEを侵害する可能性があります。（CVE-2018-3169）-Oracle Java SEのJava SEコンポーネントでは、JavaFXサブコンポーネントに詳細不明な脆弱性があるため、ネットワークにアクセスできる認証されていないリモートの攻撃者が複数のプロトコル経由でJava SEを侵害する可能性があります。（CVE-2018-3209）-Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントでは、JNDIサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。（CVE-2018-3149）-Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントでは、JSSEサブコンポーネントに詳細不明な脆弱性があるため、SSL/TLS経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。（CVE-2018-3180）-Oracle Java SEのJava SE、Java SE Embeddedコンポーネントでは、Networkingサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embeddedを侵害する可能性があります。（CVE-2018-3139）-Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントでは、Scriptingサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。（CVE-2018-3183）- Oracle Java SEのJava SE、Java SE Embeddedコンポーネントでは、Securityサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SE、Java SE Embeddedを侵害する可能性があります。（CVE-2018-3136）- Oracle Java SEのJava SE、Java SE Embeddedコンポーネントでは、Serviceabilityサブコンポーネントに詳細不明な脆弱性があるため、権限が低い攻撃者が、Java SE、Java SE Embeddedが実行されているインフラストラクチャにログオンし、Java SE、Java SE Embeddedを侵害する可能性があります。（CVE-2018-3211）- Oracle Java SEのJava SEコンポーネントでは、Soundサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2018-3157）- Oracle Java SEのJava SEコンポーネントでは、Utilityサブコンポーネントに詳細不明な脆弱性があるため、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2018-3150）Nessusはこれらの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このjava-11-openjdkの更新では、次の問題を修正します：

Upstreamタグjdk-11.0.9-11に対する更新（Oracle 2018年10月CPU）

セキュリティ修正：

  - S8202936、CVE-2018-3183、bsc#1112148：スクリプトエンジンのサポートを改善します

  - S8199226、CVE-2018-3169、bsc#1112146：フィールドアクセスを改善します

  - S8199177、CVE-2018-3149、bsc#1112144：JNDI検索強化します

  - S8202613、CVE-2018-3180、bsc#1112147：TLS接続の安定性を改善します

  - S8208209、CVE-2018-3180、bsc#1112147：TLS接続の安定性を再び改善します

  - S8199172、CVE-2018-3150、bsc#1112145：jar属性チェックを改善します

  - S8200648、CVE-2018-3157、bsc#1112149：midiコードをより安定させます

  - S8194534、CVE-2018-3136、bsc#1112142：マニフェストの改善されたサポート

  - S8208754、CVE-2018-3136、bsc#1112142：JDK-8194534の修正に対し更新が必要です

  - S8196902、CVE-2018-3139、bsc#1112143：HTTPリダイレクトの改善

多層セキュリティの修正：

  - S8194546：FileManagersがより厳格になりました

  - S8195874：jar仕様の遵守を強化します

  - S8196897：PRNGサポートを改善します

  - S8197881：StringBuilderサポートの強化

  - S8201756：暗号入力を改善します

  - S8203654：暗号状態の更新を改善します

  - S8204497：小数のフォーマットを改善します

  - S8200666：LDAPサポートを改善します

  - S8199110：インターネットアドレスに対処します

Upstreamタグjdk-11+28に更新します（OpenJDK 11 rc1）

  - S8207317：SSLEngineネゴシエーション失敗例外動作がfail-fastからfail-lazyに変更されました

  - S8207838：AArch64：JNI呼び出しでの浮動小数点レジスターの復元が不適切です

  - S8209637：[s390x]インタープリターがネイティブ呼び出しの後に結果ハンドラーを呼び出しません

  - S8209670：デストラクターでコードバッファを解放するCompilerThreadは安全ではありません

  - S8209735：デフォルトでavx512を無効にします

  - S8209806：javase11を参照するようにAPIドキュメントを更新する必要があります

  -「-internal」postfixなしでバージョンを報告します

  - gdkに対してビルドせず、アクセシビリティがgtkの特定のバージョンに依存するようにします

Upstreamタグjdk-11+27に更新します

  - S8031761：[テストバグ] JDK-8026328のリグレッションテストを追加します

  - S8151259：[テストバグ] -Xcompで実行すると、nsk/jvmti/RedefineClasses/redefclass030が「unexpected values of outer fields of the class」で失敗します

  - S8164639：ユーザー提供のNSSライブラリを使用するようにPKCS11テストを構成します

  - S8189667：Desktop#moveToTrashが必要としている「<<ALL FILES>>」FilePermissionは正しくありません

  - S8194949：[Graal] gc/TestNUMAPageSize.javaが

    -XcompのOOMで失敗します

  - S8195156：[Graal] serviceability/jvmti/GetModulesInfo/ /JvmtiGetAllModulesTest.javaがXcompモードのGraalで失敗します

  - S8199081：[テストバグ] compiler/linkage/LinkageErrors.javaは2回実行すると失敗します

  - S8201394：java.seモジュールのサマリーを更新し、java.se.eeモジュールの削除を反映します

  - S8204931：Linuxでアルファを使用する色が不適切に描画されます

  - S8204966：[テストバグ] hotspot/test/compiler/whitebox/ /IsMethodCompilableTest.javaテストが

    -XX：で失敗しますCompileThreshold=1

  - S8205608：二次的なランタイムの動作を防ぐため、ThreadReferenceImpl.cの「frames()」を修正します

  - S8205687：TimeoutHandlerにより巨大なコアファイルが生成されます

  - S8206176：一時的なtls13VNフィールドを削除します

  - S8206258：[テストエラー] NSSライブラリが見つからない場合、sun/security/pkcs11テストが失敗します

  - S8206965：java/util/TimeZone/Bug8149452.java がde_DEおよびja_JPロケールで失敗していました。

  - S8207009：TLS 1.3ハーフクローズと同期の問題

  - S8207046：arm32 vm crash：C1 arm32プラットフォーム関数のパラメーターの型の不一致

  - S8207139：Windows 2016/10でNMTが有効になっていません

  - S8207237：SSLSocket#setEnabledCipherSuitesが空の文字列を受け入れます

  - S8207355：ComputeLinearScanOrder：：compute_dominatorでC1コンパイルがハングアップします

  - S8207746：C2：LuceneがAVX512命令でクラッシュします

  - S8207765：HeapMonitorTest.javaが断続的に失敗します

  - S8207944：java.lang.ClassFormatError：クラスファイルテストの最後にある余分なバイトはJVMS 4.7.1の違反の可能性 があります

  - S8207948：JDK 11 L10nリソースファイルの更新 - msg drop 10

  - S8207966：content-lengthのないHttpClient応答は本文を返しません

  - S8208125：JOptionPaneテキスト入力ダイアログにテキストを入力できません

  - S8208164：（str）String：：行の指定を改善します

  - S8208166：JDK-8207029の後にデフォルトのTrustManagerFactoryでカスタムSSLEngineを未だに使用できません

  - S8208189：ProblemList compiler/graalunit/JttThreadsTest.java

  - S8208205：「プロセスへのアタッチ中のエラー：thread_dbエージェントを作成できません」により失敗するProblemテスト

  - S8208226：ProblemList com/sun/jdi/BasicJDWPConnectionTest.java

  - S8208251：serviceability/jvmti/HeapMonitor/MyPackage/ /HeapMonitorGCCMSTest.java がLinux-X64で断続的に失敗します

  - S8208305：ProblemList compiler/jvmci/compilerToVM/GetFlagValueTest.java

  - S8208347：ProblemList compiler/cpuflags/TestAESIntrinsicsOnSupportedConfig.jav a

  - S8208353：JDK 11をlibpng 1.6.35へアップグレードします

  - S8208358：テストで言及されたバグIDを更新します

  - S8208370：ReservedStackテストの@requiresの誤字を修正します

  - S8208391：HTTP Client APIで応答タイムアウトと接続タイムアウトを区別します

  - S8208466：harfbuzzシェーピングの潜在的なメモリリークを修正します。

  - S8208496：TLSの同時動作を検証する新しいテスト。

  - S8208521：ProblemListさらに多くのテストが「プロセスへのアタッチ中のエラー：thread_dbエージェントを作成できません」によりProblemテスト

  - S8208640：[a11y] [macos]キーボードを使用してラジオグループ内のラジオボタン間を移動できません

  - S8208663：JDK 11 L10nリソースファイルの更新 - msg drop 20

  - S8208676：NetworkPerformanceInterface：：NetworkPerformance：：network
    _utilizationでのNULLチェックの欠落とリソース漏洩

  - S8208691：jdk.includeInExceptionsセキュリティプロパティを強化します

  - S8209011：[テストバグ] AArch64：sun/security/pkcs11/Secmod/ /TestNssDbSqlite.javaがaarch64プラットフォームで失敗します

  - S8209029：「プロセスへのアタッチ中のエラー：thread_dbエージェントを作成できません」により失敗するjdk-11+25テストでthread_db agent!'が作成できませんでした

  - S8209149：[テストバグ] runtime/RedefineTests/ /RedefineRunningMethods.javaは、より長いタイムアウトを必要とします

  - S8209451：jdk 11マイルストーンをFCSに変更してください

  - S8209452：VerifyCACerts.javaが「At least one cacert test failed」で失敗します

  - S8209506：Google Trust Services GlobalSignのルート証明書を追加します

  - S8209537：JDK-8164639の後、依存関係が欠落しているために2つのセキュリティテストが失敗します

この更新プログラムはSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、11は更新プログラム1、8は更新プログラム191、7は更新プログラム201、6は更新プログラム211より前です。したがって、次のコンポーネントに関連する複数の脆弱性の影響を受けます。

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Deployment (libpng) subcomponent could allow an unauthenticated, remote attacker with network access via HTTP to compromise Java SE, Java SE Embedded. (CVE-2018-13785)

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Hotspot subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded. (CVE-2018-3169)

  - An unspecified vulnerability in the Java SE component of Oracle Java SE in the JavaFX subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2018-3209)

  - An unspecified vulnerability in the Java SE, Java SE Embedded, JRockit component of Oracle Java SE in the JNDI subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded, JRockit.
    (CVE-2018-3149)  
  - An unspecified vulnerability in the Java SE, Java SE Embedded, JRockit component of Oracle Java SE in the JSSE subcomponent could allow an unauthenticated, remote attacker with network access via SSL/TLS to compromise Java SE, Java SE Embedded, JRockit.
    (CVE-2018-3180)

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Networking subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded.
    (CVE-2018-3139)

  - An unspecified vulnerability in the Java SE, Java SE Embedded, JRockit component of Oracle Java SE in the Scripting subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded, JRockit. (CVE-2018-3183)

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Security subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE, Java SE Embedded. (CVE-2018-3136)

  - An unspecified vulnerability in the Java SE, Java SE Embedded component of Oracle Java SE in the Serviceability subcomponent could allow a low privileged attacker with logon to the infrastructure where Java SE, Java SE Embedded executes to compromise Java SE, Java SE Embedded. (CVE-2018-3211)

  - An unspecified vulnerability in the Java SE component of Oracle Java SE in the Sound subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2018-3157)

  - An unspecified vulnerability in the Java SE component of Oracle Java SE in the Utility subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2018-3150)

追加情報については、該当するCVEのCVRFの詳細を参照してください。

Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
127959	GLSA-201908-10：Oracle JDK/JRE：複数の脆弱性	Nessus	Gentoo Local Security Checks	2019/8/20	2024/5/2	critical
123345	openSUSEセキュリティ更新プログラム：java-11-openjdk (openSUSE-2019-818)	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/10	critical
118227	Oracle Java SEの複数の脆弱性（2018年10月のCPU）（UNIX）	Nessus	Misc.	2018/10/19	2024/6/20	critical
118221	openSUSEセキュリティ更新プログラム：java-11-openjd（openSUSE-2018-1205）	Nessus	SuSE Local Security Checks	2018/10/19	2024/7/30	critical
118228	Oracle Java SEの複数の脆弱性（2018年10月CPU）	Nessus	Windows	2018/10/19	2022/4/11	critical

検出

プラグインの検索

critical

critical

critical

critical

critical