Red Hat セキュリティアドバイザリ 2009:1201 から：

複数のセキュリティ問題および 1 つのバグを解決する更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

JRE の XML デジタル署名の実装が HMAC ベースの XML 署名を処理する方法に欠陥が見つかりました。攻撃者がこの欠陥を利用して、細工された署名を作成し、認証をバイパスしたり、ユーザー、アプレットまたはアプリケーションを欺いて信頼できないコンテンツを承認させるようにしたりする可能性があります。(CVE-2009-0217)

様々な情報漏洩の可能性のある課題がさまざまなミュート可能な静的変数で見つかりました。これらは、信頼できないスクリプトコードを実行するアプリケーションシナリオで悪用される可能性があります。(CVE-2009-2475)

OpenType チェックをバイパスできることが分かりました。これにより、不正なアプリケーションが、ファイナライザの復活により権限のあるオブジェクトへの参照を取得することで、アクセス制限をバイパスする可能性があります。
(CVE-2009-2476)

JRE が XML を処理する方法にサービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して細工された XML を送信し、サービス拒否を起こす可能性があります。(CVE-2009-2625)

JRE オーディオシステムに欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、制限されたシステムプロパティへの読み取りアクセスを取得する可能性があります。(CVE-2009-2670)

JRE プロキシ実装に 2 つの欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこれらの欠陥を利用して、アプレットおよびアプリケーションを実行するユーザーのユーザー名を発見したり、Web ブラウザのクッキーを取得してそれらをセッションハイジャック攻撃に使用したりする可能性があります。（CVE-2009-2671、 CVE-2009-2672）

プロキシメカニズム実装に新たな欠陥が見つかりました。
この欠陥により、信頼できないアプレットまたはアプリケーションがアクセス制限をバイパスし、認証されていないソケットまたは URL 接続を使用して元のホスト以外のホストに接続できました。(CVE-2009-2673)

JRE が JPEG イメージを処理する方法に整数オーバーフローの欠陥が見つかりました。信頼できないアプリケーションがこの欠陥を利用してその権限を拡大し、ローカルファイルを読み書きしたり、アプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。(CVE-2009-2674)

JRE unpack200 機能に整数オーバーフローの欠陥が見つかりました。
信頼できないアプレットまたはアプリケーションがその権限を拡大して、ローカルファイルを読み書きしたり、アプレットまたはアプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。(CVE-2009-2675)

JDK13Services が特定のオブジェクトタイプに不要な権限を与えていることが分かりました。信頼できないアプレットまたはアプリケーションがこれを悪用して、本来は制限された機能を使用する可能性があります。(CVE-2009-2689)

Java のプライベート変数処理方法に情報漏洩の欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、本来はプライベートな変数から情報を取得する可能性があります。(CVE-2009-2690)

注：このアドバイザリー、CVE-2009-2475、CVE-2009-2670、CVE-2009-2671、 CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2689、および CVE-2009-2690 にあるアプレットに関わる欠陥は、「appletviewer」アプリケーションを呼び出すことにより、java-1.6.0-openjdk でのみ発生します。

この更新では以下のバグも修正されます。

* Red Hat Enterprise Linux に同梱されている java-1.6.0-openjdk パッケージ内の EVR は、EPEL リポジトリからの java-1.6.0-openjdk パッケージが優先（より新しいものとして表示される）するのを許可しました。EPEL の java-1.6.0-openjdk を使用するユーザーは、2008 年 10 月以降セキュリティ更新を受けなかった可能性があります。この更新により EPEL のパッケージが優先されるのを防ぐことができます。（BZ#499079）

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

JavaSE 5.0: 更新61パッチ（JDK 5.0u61に相当）、64ビット。
Sun によるこのパッチの最終更新日：2014年1月14日

CVE-2009-0217 xmlsec1、mono、xml-security-c、xml-security-1.3.0-1jpp.ep1.*：XMLDsig HMAC ベースの署名なりすましおよび認証バイパス

CVE-2009-2670 OpenJDK 信頼できないアプレットのシステムプロパティアクセス（6738524）

CVE-2009-2671 CVE-2009-2672 OpenJDK プロキシメカニズムの情報漏洩（6801071）

CVE-2009-2673 OpenJDK プロキシメカニズムにより、認証されていないソケット接続が可能（6801497）

CVE-2009-2674 Java Web Start Buffer JPEG 処理の整数オーバーフロー（6823373）

CVE-2009-2675 Java Web Start Buffer unpack200 処理の整数オーバーフロー（6830335）

CVE-2009-2625 OpenJDK XML 解析のサービス拒否（6845701）

CVE-2009-2475 OpenJDK 複数の変数における情報漏洩（6588003、6656586、6656610、6656625、6657133、6657619、6657625、6657695、6660049、6660539、6813167）

CVE-2009-2476 OpenJDK OpenType チェックがバイパスされる可能性がある（6736293）

CVE-2009-2689 OpenJDK JDK13Services が不必要な権限を付与します（6777448）

CVE-2009-2690 OpenJDK プライベート変数の情報漏洩（6777487）

JRE の XML デジタル署名の実装が HMAC ベースの XML 署名を処理する方法に欠陥が見つかりました。攻撃者がこの欠陥を利用して、細工された署名を作成し、認証をバイパスしたり、ユーザー、アプレットまたはアプリケーションを欺いて信頼できないコンテンツを承認させるようにしたりする可能性があります。（CVE-2009-0217）

様々な情報漏洩の可能性のある課題がさまざまなミュート可能な静的変数で見つかりました。これらは、信頼できないスクリプトコードを実行するアプリケーションシナリオで悪用される可能性があります。（CVE-2009-2475）

OpenType チェックをバイパスできることが分かりました。これにより、不正なアプリケーションが、ファイナライザの復活により権限のあるオブジェクトへの参照を取得することで、アクセス制限をバイパスする可能性があります。
（CVE-2009-2476）

JRE が XML を処理する方法にサービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して細工された XML を送信し、サービス拒否を起こす可能性があります。（CVE-2009-2625）

JRE オーディオシステムに欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、制限されたシステムプロパティへの読み取りアクセスを取得する可能性があります。（CVE-2009-2670）

JRE プロキシ実装に 2 つの欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこれらの欠陥を利用して、アプレットおよびアプリケーションを実行するユーザーのユーザー名を発見したり、Web ブラウザのクッキーを取得してそれらをセッションハイジャック攻撃に使用したりする可能性があります。（CVE-2009-2671、CVE-2009-2672）

プロキシメカニズム実装に新たな欠陥が見つかりました。
この欠陥により、信頼できないアプレットまたはアプリケーションがアクセス制限をバイパスし、認証されていないソケットまたは URL 接続を使用して元のホスト以外のホストに接続できました。（CVE-2009-2673）

JRE が JPEG イメージを処理する方法に整数オーバーフローの欠陥が見つかりました。信頼できないアプリケーションがこの欠陥を利用してその権限を拡大し、ローカルファイルを読み書きしたり、アプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。（CVE-2009-2674）

JRE unpack200 機能に整数オーバーフローの欠陥が見つかりました。
信頼できないアプレットまたはアプリケーションがその権限を拡大して、ローカルファイルを読み書きしたり、アプレットまたはアプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。（CVE-2009-2675）

JDK13Services が特定のオブジェクトタイプに不要な権限を与えていることが分かりました。信頼できないアプレットまたはアプリケーションがこれを悪用して、本来は制限された機能を使用する可能性があります。（CVE-2009-2689）

Java のプライベート変数処理方法に情報漏洩の欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、本来はプライベートな変数から情報を取得する可能性があります。（CVE-2009-2690）

注：このアドバイザリのアプレットに関係する欠陥（CVE-2009-2475、

CVE-2009-2670、CVE-2009-2671、 CVE-2009-2672、CVE-2009-2673、

CVE-2009-2675、CVE-2009-2689、および CVE-2009-2690）は、「appletviewer」アプリケーションを呼び出すことで、java-1.6.0-openjdk でのみ発生可能です。

更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

JavaSE 6_x86: 更新71パッチ（JDK 6u71に相当）、64ビット。
Sun によるこのパッチの最終更新日：2014年1月14日

JavaSE 6_x86: 更新75パッチ（JDK 6u75に相当）、64ビット。
Sun によるこのパッチの最終更新日：2014年4月14日

複数のセキュリティ問題および 1 つのバグを解決する更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

JRE の XML デジタル署名の実装が HMAC ベースの XML 署名を処理する方法に欠陥が見つかりました。攻撃者がこの欠陥を利用して、細工された署名を作成し、認証をバイパスしたり、ユーザー、アプレットまたはアプリケーションを欺いて信頼できないコンテンツを承認させるようにしたりする可能性があります。（CVE-2009-0217）

様々な情報漏洩の可能性のある課題がさまざまなミュート可能な静的変数で見つかりました。これらは、信頼できないスクリプトコードを実行するアプリケーションシナリオで悪用される可能性があります。（CVE-2009-2475）

OpenType チェックをバイパスできることが分かりました。これにより、不正なアプリケーションが、ファイナライザの復活により権限のあるオブジェクトへの参照を取得することで、アクセス制限をバイパスする可能性があります。
（CVE-2009-2476）

JRE が XML を処理する方法にサービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して細工された XML を送信し、サービス拒否を起こす可能性があります。（CVE-2009-2625）

JRE オーディオシステムに欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、制限されたシステムプロパティへの読み取りアクセスを取得する可能性があります。（CVE-2009-2670）

JRE プロキシ実装に 2 つの欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこれらの欠陥を利用して、アプレットおよびアプリケーションを実行するユーザーのユーザー名を発見したり、Web ブラウザのクッキーを取得してそれらをセッションハイジャック攻撃に使用したりする可能性があります。（CVE-2009-2671、CVE-2009-2672）

プロキシメカニズム実装に新たな欠陥が見つかりました。
この欠陥により、信頼できないアプレットまたはアプリケーションがアクセス制限をバイパスし、認証されていないソケットまたは URL 接続を使用して元のホスト以外のホストに接続できました。（CVE-2009-2673）

JRE が JPEG イメージを処理する方法に整数オーバーフローの欠陥が見つかりました。信頼できないアプリケーションがこの欠陥を利用してその権限を拡大し、ローカルファイルを読み書きしたり、アプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。（CVE-2009-2674）

JRE unpack200 機能に整数オーバーフローの欠陥が見つかりました。
信頼できないアプレットまたはアプリケーションがその権限を拡大して、ローカルファイルを読み書きしたり、アプレットまたはアプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。（CVE-2009-2675）

JDK13Services が特定のオブジェクトタイプに不要な権限を与えていることが分かりました。信頼できないアプレットまたはアプリケーションがこれを悪用して、本来は制限された機能を使用する可能性があります。（CVE-2009-2689）

Java のプライベート変数処理方法に情報漏洩の欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、本来はプライベートな変数から情報を取得する可能性があります。（CVE-2009-2690）

注：このアドバイザリー、CVE-2009-2475、CVE-2009-2670、CVE-2009-2671、 CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2689、および CVE-2009-2690 にあるアプレットに関わる欠陥は、「appletviewer」アプリケーションを呼び出すことにより、java-1.6.0-openjdk でのみ発生します。

この更新では以下のバグも修正されます。

* Red Hat Enterprise Linux に同梱されている java-1.6.0-openjdk パッケージ内の EVR は、EPEL リポジトリからの java-1.6.0-openjdk パッケージが優先（より新しいものとして表示される）するのを許可しました。EPEL の java-1.6.0-openjdk を使用するユーザーは、2008 年 10 月以降セキュリティ更新を受けなかった可能性があります。この更新により EPEL のパッケージが優先されるのを防ぐことができます。（BZ#499079）

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

いくつかのセキュリティ問題を修正する更新済みの java-1.5.0-sun パッケージが、Red Hat Network Satellite Server 5.1 で現在利用可能です。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

この更新は、Red Hat Network Satellite Server 5.1 の一部として出荷される Sun Java Runtime Environment におけるいくつかのセキュリティ脆弱性を修正します。通常の運用環境では、ランタイムが信頼できないアプレットで使用されることはないため、このようなセキュリティリスクは高くありません。

複数の欠陥が Sun Java 5 Runtime 環境で修正されました。
（CVE-2006-2426、CVE-2008-2086、CVE-2009-1093、CVE-2009-1094、CVE-2009-1095、CVE-2009-1096、CVE-2009-1098、CVE-2009-1099、CVE-2009-1100、CVE-2009-1103、CVE-2009-1104、CVE-2009-1107、CVE-2009-2409、CVE-2009-2475、CVE-2009-2625、CVE-2009-2670、CVE-2009-2671、CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2676、CVE-2009-2689、CVE-2009-3728、CVE-2009-3873、CVE-2009-3876、CVE-2009-3877、CVE-2009-3879、CVE-2009-3880、CVE-2009-3881、CVE-2009-3882、CVE-2009-3883、CVE-2009-3884）

注：Sun Java SE Release ファミリー 5.0 はすでにサービスが終了しているため、これが java-1.5.0-sun パッケージの最後の更新です。Sun Java SE 5.0 の代替品は IBM Developer Kit for Linux の Java 2 Technology Edition で、これは Red Hat Network の Satellite 5.1 チャネルから利用可能です。

長期的なソリューションとして、Red Hat はユーザーに対して、Sun Java SE 5.0 から IBM Developer Kit for Linux の Java 2 Technology Edition に切り替えることを推奨します。手順についは、「ソリューション」セクションを参照してください。

Red Hat Network Satellite Server 5.1 のユーザーは、これらの問題を解決する更新済みの java-1.5.0-sun パッケージにアップグレードすることが推奨されます。
更新を有効にするには、 Sun Java のすべての実行しているインスタンスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
67905	Oracle Linux 5：java-1.6.0-openjdk（ELSA-2009-1201）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
107298	Solaris 10（sparc）: 118667-61	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
60633	Scientific Linux セキュリティ更新：SL5.3 i386/x86_64 の java-1.6.0-openjdk	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
107920	Solaris 10（x86）： 125139-71	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
107921	Solaris 10（x86）： 125139-75	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
43774	CentOS 5：java-1.6.0-openjdk（CESA-2009:1201）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	critical
53539	RHEL 4：SatelliteサーバーのSun Java Runtime（RHSA-2009 1662）	Nessus	Red Hat Local Security Checks	2011/4/23	2021/1/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical