この更新は、Sun Java 6 Runtime Environment および Sun Java 6 ソフトウェア開発キットのいくつかの脆弱性を修正します。これらの脆弱性は、 Sun Microsystems の「Advance notification of Security Updates for Java SE」ページにまとめられており、これは「参照」セクションに一覧表示されています。

更新を有効にするには、 Sun Java のすべての実行しているインスタンスを再起動する必要があります。

注：jdk-1.6.0_13-fcs.x86_64.rpm は署名されない可能性があります。その他すべての rpm は、通常の署名で署名されます。

Red Hat セキュリティアドバイザリ 2009:0377 から：

複数のセキュリティ問題を修正する、更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

Java 仮想マシン（JVM）の一時フォントファイルの処理過程に欠陥が見つかりました。悪意のあるアプレットはこの欠陥を利用すると、大量のディスク容量を使用してサービス拒否を引き起こす可能性があります。
(CVE-2006-2426)

LittleCMS（OpenJDK に組み込み済み）にメモリ漏洩の欠陥が見つかりました。カラープロファイルを使用しているアプリケーションは特別に細工された画像を開くことで、過剰なメモリ量を使用し、すべての利用可能なメモリを使用した後でクラッシュさせる可能性があります。(CVE-2009-0581)

LittleCMS のカラープロファイルの処理過程にヒープベースのバッファオーバーフローを引き起こす可能性のある複数の整数オーバーフロー、及び複数の不十分な入力検証の欠陥が見つかりました。攻撃者は、これらの欠陥を利用して特別に細工されたファイルを生成することができます。このファイルを開くと、Java アプリケーションがクラッシュすることや、任意のコードを実行できる可能性もあります。（CVE-2009-0723、 CVE-2009-0733）

LittleCMS に NULL ポインターデリファレンスの欠陥が見つかりました。カラープロファイルを使用しているアプリケーションは、特別に細工された画像ファイルを変換する際にクラッシュすることがあります。(CVE-2009-0793)

Java API for XML Web Services（JAX-WS）サービスエンドポイント処理の欠陥により、リモートの攻撃者は JAX-WS サービスエンドポイントをホストしているサーバーアプリケーションでサービス拒否を発生させることができます。
(CVE-2009-1101)

Java Runtime Environment が LDAP 接続を初期化の欠陥により、リモートの許可されたユーザーが LDAP サービスでサービス拒否を引き起こすことができます。(CVE-2009-1093)

Java Runtime Environment LDAP クライアントの欠陥により、 LDAP サーバーの悪意のあるデータが任意のコードを読み込み、 LDAP クライアントで実行されることがあります。(CVE-2009-1094)

Java Runtime Evnvironment unpack200 の機能に複数のバッファオーバーフローの欠陥が見つかりました。信頼できないアプレットが権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、ユーザーが実行しているアプレットの権限でローカルアプリケーションを実行できるようになります。（CVE-2009-1095、 CVE-2009-1096）

Java Runtime Environment 仮想マシンコード生成機能における欠陥により、信頼できないアプレットが権限を拡張する可能性があります。信頼できないアプレットが権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、ユーザーが実行しているアプレットの権限でローカルアプリケーションを実行できるようになります。
(CVE-2009-1102)

スプラッシュスクリーンプロセスで、バッファオーバーフローの欠陥が見つかりました。リモートの攻撃者が権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、Java プロセスを実行しているユーザーの権限でローカルアプリケーションを実行できるようになります。(CVE-2009-1097)

GIF 画像の処理過程にバッファオーバーフローの欠陥が見つかりました。リモートの攻撃者が権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、Java プロセスを実行しているユーザーの権限でローカルアプリケーションを実行できるようになります。(CVE-2009-1098)

注：このアドバイザリ、CVE-2009-1095、CVE-2009-1096、 CVE-2009-1102 のアプレットに関する欠陥は、「appletviewer」アプリケーションを呼び出すことにより、 java-1.6.0-openjdk でのみ発生させられます。

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

リモートホストにインストールされている Sun Java ランタイム環境（JRE）は、6 Update 13 / 5.0 Update 18 / 1.4.2_20 / 1.3.1_25 より前のバージョンです。上記のバージョンは以下のセキュリティ問題の影響を受ける可能性があります。

- サービス拒否（DoS）脆弱性は、JRE の LDAP 実装に影響します。（254569）。

- JRE LDAP 実装でのリモートコード実行脆弱性により、影響を受けている LDAP クライアントのコンテキストで任意のコードを実行できることがあります。（254569）

- 「unpack2000」ユーティリティを使用してアプレットや Java Web Start アプリケーションをアンパックするときに、複数の整数オーバーフローおよびバッファオーバーフローの脆弱性が存在します。
 （254570）

- 一時フォントファイルの保存および処理に関連する複数のサービス拒否の脆弱性があります。（254608）

- アプレットの逆シリアル化の際に、権限昇格の脆弱性が Java プラグインに影響を与えます。（254611）

- Java プラグインの弱点により、ローカルホストからロードされている JavaScript を、ローカルシステムの任意のポートに接続できます。（254611）

- Java プラグインの脆弱性により、悪意のある JavaScript コードを使って、同じ Web ページにあるアプレットによってロードされた以前のバージョンの JRE の脆弱性を悪用できます。（254611）

- 「crossdomain.xml」を解析するときに Java プラグインに存在する問題により、信頼できないアプレットを、「crossdomain.xml」ファイルをホストしている任意のサイトに接続できます。
 （254611）

- Java プラグインにより、署名済みの悪意のあるアプレットが、セキュリティダイアログの内容を隠すことができます。（254611）

- JRE 仮想マシンは、権限昇格の脆弱性の影響を受けます。（254610）

- JRE の PNG および GIF イメージの処理を含む、複数のバッファオーバーフローの脆弱性があります。
 （254571）

- JRE のフォント処理を含む、複数のバッファオーバーフローの脆弱性があります。（254571）

- サービス拒否（DoS）脆弱性が JRE の HTTP サーバー実装に影響します。これを利用して、JAX-WS サービスのエンドポイントでサービス拒否（DoS）を発生できる可能性がありました。（254609）

リモートホストにインストールされている Sun Java ランタイム環境（JRE）は、6 Update 13 / 5.0 Update 18 / 1.4.2_20 / 1.3.1_25 より前のバージョンです。このようなバージョンは、以下のセキュリティ問題の影響を受ける可能性があります。

  - サービス拒否（DoS）脆弱性は、JRE の LDAP 実装に影響します。（254569）。

  - JRE LDAP 実装でのリモートコード実行脆弱性により、影響を受けている LDAP クライアントのコンテキストで任意のコードを実行できることがあります。（254569）

  - 「unpack2000」ユーティリティを使用してアプレットや Java Web スタートアプリケーションをアンパックするときに、複数の整数オーバーフローおよびバッファオーバーフローの脆弱性が存在します。
    （254570）

  - 一時フォントファイルの保存および処理に関連する、複数のサービス拒否（DoS）脆弱性があります。（254608）

  - アプレットのデシリアライズ時に、権限昇格脆弱性が Java プラグインに影響します。（254611）

  - Java プラグインの弱点により、ローカルホストからロードされている JavaScript を、ローカルシステムの任意のポートに接続できます。（254611）

  - Java プラグインの脆弱性により、悪意のある JavaScript コードを使って、同じ Web ページにあるアプレットによってロードされた以前のバージョンの JRE の脆弱性を悪用できます。（254611）

  - 「crossdomain.xml」を解析するときに Java プラグインに存在する問題により、信頼していないアプレットを、「crossdomain.xml」ファイルをホストしている任意のサイトに接続できます。
    （254611）

  - Java プラグインにより、署名済みの悪意のあるアプレットが、セキュリティ ダイアログの内容を隠すことができます。（254611）

  - JRE 仮想マシンは、権限昇格脆弱性影響を受けます。（254610）

  - JRE の PNG および GIF イメージの処理を含む、複数のバッファオーバーフロー脆弱性があります。
    （254571）

  - JRE のフォント処理を含む、複数のバッファオーバーフロー脆弱性があります。（254571）

  - サービス拒否（DoS）脆弱性は、JRE の HTTP サーバー実装に影響します。これを使用して、JAX-WS サービスのエンドポイントでサービス拒否（DoS）を発生できることがあります。（254609）

複数のセキュリティ問題を修正する、更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

Java 仮想マシン（JVM）の一時フォントファイルの処理過程に欠陥が見つかりました。悪意のあるアプレットはこの欠陥を利用すると、大量のディスク容量を使用してサービス拒否を引き起こす可能性があります。
（CVE-2006-2426）

LittleCMS（OpenJDK に組み込み済み）にメモリ漏洩の欠陥が見つかりました。カラープロファイルを使用しているアプリケーションは特別に細工された画像を開くことで、過剰なメモリ量を使用し、すべての利用可能なメモリを使用した後でクラッシュさせる可能性があります。（CVE-2009-0581）

LittleCMS のカラープロファイルの処理過程にヒープベースのバッファオーバーフローを引き起こす可能性のある複数の整数オーバーフロー、及び複数の不十分な入力検証の欠陥が見つかりました。攻撃者は、これらの欠陥を利用して特別に細工されたファイルを生成することができます。このファイルを開くと、Java アプリケーションがクラッシュすることや、任意のコードを実行できる可能性もあります。（CVE-2009-0723、CVE-2009-0733）

LittleCMS に NULL ポインターデリファレンスの欠陥が見つかりました。カラープロファイルを使用しているアプリケーションは、特別に細工された画像ファイルを変換する際にクラッシュすることがあります。（CVE-2009-0793）

Java API for XML Web Services（JAX-WS）サービスエンドポイント処理の欠陥により、リモートの攻撃者は JAX-WS サービスエンドポイントをホストしているサーバーアプリケーションでサービス拒否を発生させることができます。
（CVE-2009-1101）

Java Runtime Environment が LDAP 接続を初期化の欠陥により、リモートの許可されたユーザーが LDAP サービスでサービス拒否を引き起こすことができます。（CVE-2009-1093）

Java Runtime Environment LDAP クライアントの欠陥により、 LDAP サーバーの悪意のあるデータが任意のコードを読み込み、 LDAP クライアントで実行されることがあります。（CVE-2009-1094）

Java Runtime Evnvironment unpack200 の機能に複数のバッファオーバーフローの欠陥が見つかりました。信頼できないアプレットが権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、ユーザーが実行しているアプレットの権限でローカルアプリケーションを実行できるようになります。（CVE-2009-1095、CVE-2009-1096）

Java Runtime Environment 仮想マシンコード生成機能における欠陥により、信頼できないアプレットが権限を拡張する可能性があります。信頼できないアプレットが権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、ユーザーが実行しているアプレットの権限でローカルアプリケーションを実行できるようになります。
（CVE-2009-1102）

スプラッシュスクリーンプロセスで、バッファオーバーフローの欠陥が見つかりました。リモートの攻撃者が権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、Java プロセスを実行しているユーザーの権限でローカルアプリケーションを実行できるようになります。（CVE-2009-1097）

GIF 画像の処理過程にバッファオーバーフローの欠陥が見つかりました。リモートの攻撃者が権限を拡張できるため、ローカルファイルの読み込み、書き込みが可能になり、Java プロセスを実行しているユーザーの権限でローカルアプリケーションを実行できるようになります。（CVE-2009-1098）

注：このアドバイザリ、CVE-2009-1095、CVE-2009-1096、 CVE-2009-1102 のアプレットに関する欠陥は、「appletviewer」アプリケーションを呼び出すことにより、 java-1.6.0-openjdk でのみ発生させられます。

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

いくつかのセキュリティ問題を修正する更新済みの java-1.5.0-sun パッケージが、Red Hat Network Satellite Server 5.1 で現在利用可能です。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

この更新は、Red Hat Network Satellite Server 5.1 の一部として出荷される Sun Java Runtime Environment におけるいくつかのセキュリティ脆弱性を修正します。通常の運用環境では、ランタイムが信頼できないアプレットで使用されることはないため、このようなセキュリティリスクは高くありません。

複数の欠陥が Sun Java 5 Runtime 環境で修正されました。
（CVE-2006-2426、CVE-2008-2086、CVE-2009-1093、CVE-2009-1094、CVE-2009-1095、CVE-2009-1096、CVE-2009-1098、CVE-2009-1099、CVE-2009-1100、CVE-2009-1103、CVE-2009-1104、CVE-2009-1107、CVE-2009-2409、CVE-2009-2475、CVE-2009-2625、CVE-2009-2670、CVE-2009-2671、CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2676、CVE-2009-2689、CVE-2009-3728、CVE-2009-3873、CVE-2009-3876、CVE-2009-3877、CVE-2009-3879、CVE-2009-3880、CVE-2009-3881、CVE-2009-3882、CVE-2009-3883、CVE-2009-3884）

注：Sun Java SE Release ファミリー 5.0 はすでにサービスが終了しているため、これが java-1.5.0-sun パッケージの最後の更新です。Sun Java SE 5.0 の代替品は IBM Developer Kit for Linux の Java 2 Technology Edition で、これは Red Hat Network の Satellite 5.1 チャネルから利用可能です。

長期的なソリューションとして、Red Hat はユーザーに対して、Sun Java SE 5.0 から IBM Developer Kit for Linux の Java 2 Technology Edition に切り替えることを推奨します。手順についは、「ソリューション」セクションを参照してください。

Red Hat Network Satellite Server 5.1 のユーザーは、これらの問題を解決する更新済みの java-1.5.0-sun パッケージにアップグレードすることが推奨されます。
更新を有効にするには、 Sun Java のすべての実行しているインスタンスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
60555	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の java（jdk 1.6.0）	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67831	Oracle Linux 5：java-1.6.0-openjdk（ELSA-2009-0377）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
64829	Sun Java JRE の複数の脆弱性（254569 / 254611 / 254608 など）（Unix）	Nessus	Misc.	2013/2/22	2022/4/11	critical
36034	Sun Java JRE の複数の脆弱性（254569 / 254611 / 254608 など）	Nessus	Windows	2009/3/27	2022/4/11	high
43736	CentOS 5：java-1.6.0-openjdk（CESA-2009:0377）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	critical
53539	RHEL 4：SatelliteサーバーのSun Java Runtime（RHSA-2009 1662）	Nessus	Red Hat Local Security Checks	2011/4/23	2021/1/14	critical

検出

プラグインの検索

critical

critical

critical

high

critical

critical