IcedTea-Web プロジェクトは、Java Web ブラウザのプラグインおよび Netx プロジェクトに基づく Java Web Start の実装を提供しています。
また、プラグインおよび Web Start 実装のデプロイメント設定を管理する構成ツールも含んでいます。

IcedTea-Web ブラウザプラグインの同一生成元ポリシー実装に、欠陥が見つかりました。悪意のある Java アプレットでこの欠陥が使用されて、生成元ホスト以外のホストに対してネットワーク接続が開き、同一生成元ポリシーに違反することがあります。（CVE-2011-3377）

IcedTea-Web の全ユーザーは、これらの更新済みパッケージへアップグレードする必要があります。これにより、この問題を修正するために、IcedTea-Web がバージョン 1.0.6 へアップグレードされます。この更新を有効にするには、IcedTea-Web ブラウザプラグインを使用する Web ブラウザを再起動する必要があります。

USN-1263-1 は OpenJDK 6 の脆弱性を修正しました。ブロック式 AES 暗号化アルゴリズムへの選択済み平文攻撃への Upstream パッチ（CVE-2011-3389）により、回帰が導入され、特定のアルゴリズムを使用する際、TLS/SSL 接続が失敗しました。この更新により問題が修正されます。

ご面倒をお掛けして申し訳ございません。

Deepak Bhole は、IcedTea Web ブラウザプラグイン内で同一原点ポリシー（SOP）の欠陥を発見しました。これを利用することでリモートの攻撃者は、許可されるべきではない一部のホストへの接続をオープンできるようになります。（CVE-2011-3377）

Juliano Rizzo 氏と Thai Duong 氏は、ブロックの AES 暗号化アルゴリズムが TLS/SSL で使用されているときのように選択平文攻撃に対して脆弱であることを発見しました。これにより、リモートの攻撃者は機密データを表示させる可能性があります。（CVE-2011-3389）

型の取り違え（Type Confusion）の欠陥が Internet Inter-Orb Protocol（IIOP）の逆シリアル化コードに存在することが判明しました。リモートの攻撃者が、これを利用し、悪意のある入力を逆シリアル化することにより、信頼できないアプリケーションまたはアプレットに任意のコードを実行させる可能性があります。（CVE-2011-3521）

Java のスクリプティングエンジンが、SecurityManager のチェックを実行していないことが判明しました。これにより、リモートの攻撃者が、JVM の全権限で信頼できないアプリケーションまたはアプレットに任意のコードを実行させる可能性があります。
（CVE-2011-3544）

InputStream クラスが、スキップした入力バイトを保存するのに、グローバルバッファを使用していることが判明しました。攻撃者はこれを利用して、機密情報にアクセスする可能性があります。
（CVE-2011-3547）

AWTKeyStroke クラスに脆弱性が存在することが判明しました。リモートの攻撃者が、信頼できないアプリケーションまたはアプレットに任意のコードを実行させる可能性があります。
（CVE-2011-3548）

整数オーバーフローの脆弱性が Java2D 実装の TransformHelper クラスに存在していることが判明しました。リモートの攻撃者は、これを利用し、アプリケーションまたはアプレットのクラッシュでサービス拒否を発生させることや、任意のコードを実行できる可能性があります。（CVE-2011-3551）

SecurityManager の制限下で実行しているアプリケーションの UDP ソケットのデフォルト数の設定が高すぎることが判明しました。リモートの攻撃者が、これを利用して、悪意のあるアプリケーションまたはアプレットに利用できる UDP ソケット数を消費させ、同じ JVM 内で実行している他のアプレットまたはアプリケーションのサービス拒否を引き起こす可能性があります。（CVE-2011-3552）

Java API for XML Web Services（JAX-WS）がスタックトレースを不適切に表示していることが判明しました。リモートの攻撃者が、これを利用して、機密情報にアクセスする可能性があります。（CVE-2011-3553）

pack200 JAR ファイルのアンパッカーがエラーを十分にチェックしていないことが判明しました。攻撃者が、特別に細工された　pack200 JAR ファイルで、サービス拒否を引き起こしたり、任意のコードの実行を行ったりする可能性があります。
（CVE-2011-3554）

RMI 登録実装がリモートで実行されるコードの権限を適切に制限していないことが判明しました。リモートの攻撃者が、この脆弱性を利用して、昇格された権限でコードを実行する可能性があります。（CVE-2011-3556、CVE-2011-3557）

ホットスポット VM をクラッシュさせ、攻撃者にサービス拒否や機密情報の漏洩を行わせる可能性があります。（CVE-2011-3558）

HttpsURLConnection クラスが特定の状況下において SecurityManager チェックを適切に行っていないことが判明しました。これによりリモートの攻撃者は、HTTPS 接続の制限をバイパスする可能性があります。（CVE-2011-3560）。

Red Hat セキュリティアドバイザリ 2011:1441 から：

1 つのセキュリティ問題を修正する更新済み icedtea-web パッケージが、 Red Hat Enterprise Linux 6 に利用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

IcedTea-Web プロジェクトは、Java Web ブラウザのプラグインおよび Netx プロジェクトに基づく Java Web Start の実装を提供しています。
また、プラグインおよび Web Start 実装のデプロイメント設定を管理する構成ツールも含んでいます。

IcedTea-Web ブラウザプラグインの同一生成元ポリシー実装に、欠陥が見つかりました。悪意のある Java アプレットでこの欠陥が使用されて、生成元ホスト以外のホストに対してネットワーク接続が開き、同一生成元ポリシーに違反することがあります。(CVE-2011-3377)

IcedTea-Web の全ユーザーは、これらの更新済みパッケージへアップグレードする必要があります。これにより、この問題を修正するために、IcedTea-Web がバージョン 1.0.6 へアップグレードされます。この更新を有効にするには、IcedTea-Web ブラウザプラグインを使用する Web ブラウザを再起動する必要があります。

Deepak Bhole は、IcedTea Web ブラウザプラグイン内で同一原点ポリシー（SOP）の欠陥を発見しました。これを利用することでリモートの攻撃者は、許可されるべきではない一部のホストへの接続をオープンできるようになります。（CVE-2011-3377）

Juliano Rizzo 氏と Thai Duong 氏は、ブロックの AES 暗号化アルゴリズムが TLS/SSL で使用されているときのように選択平文攻撃に対して脆弱であることを発見しました。これにより、リモートの攻撃者は機密データを表示させる可能性があります。（CVE-2011-3389）

型の取り違え（Type Confusion）の欠陥が Internet Inter-Orb Protocol（IIOP）の逆シリアル化コードに存在することが判明しました。リモートの攻撃者が、これを利用し、悪意のある入力を逆シリアル化することにより、信頼できないアプリケーションまたはアプレットに任意のコードを実行させる可能性があります。
（CVE-2011-3521）

Java のスクリプティングエンジンが、SecurityManager のチェックを実行していないことが判明しました。これにより、リモートの攻撃者が、JVMの全権限で信頼できないアプリケーションまたはアプレットに任意のコードを実行させる可能性があります。（CVE-2011-3544）

InputStream クラスが、スキップした入力バイトを保存するのに、グローバルバッファを使用していることが判明しました。攻撃者はこれを利用して、機密情報にアクセスする可能性があります。（CVE-2011-3547）

AWTKeyStroke クラスに脆弱性が存在することが判明しました。リモートの攻撃者が、信頼できないアプリケーションまたはアプレットに任意のコードを実行させる可能性があります。（CVE-2011-3548）

整数オーバーフローの脆弱性が Java2D 実装の TransformHelper クラスに存在していることが判明しました。リモートの攻撃者は、これを利用し、アプリケーションまたはアプレットのクラッシュでサービス拒否を発生させることや、任意のコードを実行できる可能性があります。（CVE-2011-3551）

SecurityManager の制限下で実行しているアプリケーションの UDP ソケットのデフォルト数の設定が高すぎることが判明しました。リモートの攻撃者が、これを利用して、悪意のあるアプリケーションまたはアプレットに利用できるUDPソケット数を消費させ、同じJVM内で実行している他のアプレットまたはアプリケーションのサービス拒否を引き起こす可能性があります。（CVE-2011-3552）

Java API for XML Web Services（JAX-WS）がスタックトレースを不適切に表示していることが判明しました。リモートの攻撃者が、これを利用して、機密情報にアクセスする可能性があります。（CVE-2011-3553）

pack200 JAR ファイルのアンパッカーがエラーを十分にチェックしていないことが判明しました。攻撃者が、特別に細工されたpack200 JARファイルで、サービス拒否を引き起こしたり、任意のコードの実行を行ったりする可能性があります。（CVE-2011-3554）

RMI 登録実装がリモートで実行されるコードの権限を適切に制限していないことが判明しました。リモートの攻撃者が、この脆弱性を利用して、昇格された権限でコードを実行する可能性があります。
（CVE-2011-3556、CVE-2011-3557）

ホットスポット VMをクラッシュさせ、攻撃者にサービス拒否や機密情報の漏洩を行わせる可能性があります。（CVE-2011-3558）

HttpsURLConnection クラスが特定の状況下において SecurityManager チェックを適切に行っていないことが判明しました。これによりリモートの攻撃者は、HTTPS 接続の制限をバイパスする可能性があります。
（CVE-2011-3560）。

注意: Tenable Network Securityは、前述の説明ブロックをUbuntuセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

IcedTea-Web のバージョン 1.1.4 へ更新して、以下の問題を修正してください。

- CVE-2011-3377：IcedTea-Web：第 2 レベルのドメインのサブドメインおよびサフィックスドメイン SOP バイパス

- PR778：Jar のダウンロードおよびサーバー証明書の検証デッドロック

- 1.2 への更新

- 新機能：

- 署名された JNLP のサポート

- クライアント認証の証明書のサポート

- itweb-settings により、キャッシュサイズのエンフォースメントが現在サポートされています

- アプレットのパラメーターが JNLP ファイルをパススルーすることが現在サポートされています

- アクセス警告ダイアログのアイコンを改善します

- セキュリティダイアログ UI が修正され、適切なときにはあまり脅威的に見えないようになりました

- 修正（プラグイン、webstart、共通）

- PR618：OpenDJ をインストールできません、JavaWebStart が入力ストリームの null エラーで失敗します

- PR765：すべてのリソース jar が「lazy」とマークされる JNLP ファイルが、署名の検証に失敗し、アプリケーションの起動を停止します

- PR788：Elluminate Live! が作動していません

- PR804：javaws ランチャーが、空白のあるファイル名を不適切に処理します

- PR820、bnc#746895：IcedTea-Web 1.1.3 が、Citrix XenApp のロード中に Firefox をクラッシュします

- PR838：IcedTea プラグインが、JavaScript 実行時に chrome ブラウザでクラッシュします

- PR852：サイトからの最後のアプレットが終了した後にクラスローダーがフラッシュされていません

- RH586194：Juniper VPN クライアントと接続できません

- PR771：IcedTea-Web 証明書検証コードが適切な API を使用していません

- PR742：IcedTea-Web は、信頼できないものとして宣言する前に証明書を 1 レベルの深さまでしかチェックしません

- PR789：jrunscript.sh の誤字

- PR808：メインの jar の前に欠如している jar を列挙する際に javaws を起動できません

- RH738814：ssl ハンドシェイクでアクセスが拒否されました

- クライアント証明書を使用する認証のサポート

- bnc#737105/FATE#313084 を修正します：補助を追加します：
 packageand(broswer(npapi):java-openjdk) により、openjdk と対応可能なブラウザがインストールされている際に、Web プラグインが確実にプルされるようにします

- make check を各セクションで有効化します

- 1.1.4 への更新（bnc#729870 を修正します）

- RH742515、CVE-2011-3377：IcedTea-Web：第 2 レベルのドメインのサブドメインおよびサフィックスドメイン SOP バイパス

- PR778：Jar のダウンロードおよびサーバー証明書の検証デッドロック

1 つのセキュリティの問題を修正する更新済みの icedtea-web パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションのCVEリンクで確認できます。

IcedTea-Web プロジェクトは、Java Web ブラウザのプラグインおよび Netx プロジェクトに基づく Java Web Start の実装を提供しています。
また、プラグインおよび Web Start 実装のデプロイメント設定を管理する構成ツールも含んでいます。

IcedTea-Webブラウザプラグインの同一生成元ポリシー実装に、欠陥が見つかりました。悪意のあるJavaアプレットでこの欠陥が使用されて、生成元ホスト以外のホストに対してネットワーク接続が開き、同一生成元ポリシーに違反することがあります。（CVE-2011-3377）

IcedTea-Web の全ユーザーは、これらの更新済みパッケージへアップグレードする必要があります。これにより、この問題を修正するために、IcedTea-Web がバージョン 1.0.6 へアップグレードされます。この更新を有効にするには、IcedTea-Web ブラウザプラグインを使用する Web ブラウザを再起動する必要があります。

openjdk（icedtea6）および icedtea-web で、次のセキュリティ問題が特定され、修正されました：

1.10.4 より前の IcedTea6 により、リモートの信頼できない Java Web Start アプリケーションおよび信頼できない Java アプレットは、Networking に関連する不明なベクトルを通じて、機密性に影響を与えることができます（CVE-2011-3547）。

1.10.4 より前の IcedTea6 により、リモートの信頼できない Java Web Start アプリケーションおよび信頼できない Java アプレットは、AWT に関連する、機密性、整合性、および可用性に影響を与えることができます（CVE-2011-3548）。

1.10.4 より前の IcedTea6 により、リモートの攻撃者は、2D に関連する不明なベクトルを通じて、機密性、整合性、および可用性に影響を与えることができます（CVE-2011-3551）。

1.10.4 より前の IcedTea6 により、リモートの攻撃者は、Networking に関連する不明なベクトルを通じて、整合性に影響を与えることができます（CVE-2011-3552）。

1.10.4 より前の IcedTea6 により、認証されたリモートのユーザーは、JAXWS に関連する、機密性に影響を与えることができます（CVE-2011-3553）。

1.10.4 より前の IcedTea6 により、リモートの信頼できない Java Web Start アプリケーションおよび信頼できない Java アプレットは、Scripting に関連する不明なベクトルを通じて、機密性、整合性、および可用性に影響を与えることができます（CVE-2011-3544）。

1.10.4 より前の IcedTea6 により、リモートの信頼できない Java Web Start アプリケーションおよび信頼できない Java アプレットは、Deserialization に関連する不明なベクトルを通じて、機密性、整合性、および可用性に影響を与えることができます（CVE-2011-3521）。

1.10.4 より前の IcedTea6 により、リモートの信頼できない Java Web Start アプリケーションおよび信頼できない Java アプレットは、不明なベクトルを通じて、機密性、整合性、および可用性に影響を与えることができます（CVE-2011-3554）。

暗号ブロックチェーン（CBC）モードで暗号をブロックする際に SSL 3 と TLS 1.0 のプロトコルを使用する方法に欠陥が見つかりました。信頼できるデータと信頼できないデータが混在している接続に対して、選択された平文攻撃を仕掛けることができる攻撃者は、この欠陥を利用して、その接続を経由して送信される、信頼できるデータの部分を回復する可能性があります（CVE-2011-3389）。

注：この更新は、最初のアプリケーションデータレコードバイトを別の SSL/TLS プロトコルレコードに分割することにより、 CVE-2011-3389 の問題を緩和しています。この緩和により、いくつかの SSL/TLS 実装で互換性の問題が発生することがあります。 jsse.enableCBCProtection Boolean プロパティを使用することにより無効化できます。これをコマンドラインで行えるようにするには、java コマンドにフラグ「-Djsse.enableCBCProtection=false」を追加します。

1.10.4 より前の IcedTea6 により、リモートの信頼できない Java Web Start アプリケーションおよび信頼できない Java アプレットは、ホットスポットに関連する不明なベクトルを通じて、機密性に影響を与えることができます（CVE-2011-3558）。

1.10.4 より前の IcedTea6 により、リモートの攻撃者が RMI に関連して、機密性、整合性、可用性に影響を与えることができます（CVE-2011-3556）。

1.10.4 より前の IcedTea6 により、リモートの攻撃者が RMI に関連して、機密性、整合性、可用性に影響を与えることができます（CVE-2011-3557）。

1.10.4 より前の IcedTea6 により、リモートの信頼できない Java Web Start アプリケーションおよび信頼できない Java アプレットは、JSSE に関連する、機密性および整合性に影響を与えることができます（CVE-2011-3560）。

Deepak Bhole 氏は、IcedTea プロジェクトの Web ブラウザプラグインにおいて、同一生成元ポリシー（SOP）の実装に欠陥があることを発見しました。悪意のあるアプレットは、この欠陥を利用して、SOP 保護をバイパスし、元の第 2 レベルドメインのサフィックスであるドメインのいずれかのサブドメインだけでなく、アプレットの元の第 2 レベルドメインのいずれかのサブドメインへの接続も開く可能性があります。たとえば、IcedTea-Webプラグインにより、some.host.example.comからのアプレットは、www.ample.comまたはample.comだけでなく、other.host.example.com、www.example.com、およびexample.comにも接続することができます。（CVE-2011-3377）

Oracle Java プラットフォームの実装である OpenJDK で、いくつかの脆弱性が発見されています。

- CVE-2011-3377 openjdk-6 パッケージに含まれている IcedTea ブラウザプラグインは、要求されたドメイン名と共通のサフィックスを持つドメイン名の下で提供された Web コンテンツで、同一生成元ポリシーを適切に実施しません。

CVE-2011-3563 Java Sound コンポーネントは、配列境界を適切にチェックしませんでした。悪意のある入力、あるいは信頼できない Java アプリケーションまたはアプレットがこの欠陥を利用して、Java 仮想マシンをクラッシュさせたり、メモリの一部を漏洩したりする可能性があります。

- CVE-2011-5035 OpenJDK の埋め込み Web サーバーは、過剰な数のリクエストパラメーターに対する保護を行いませんでした。これはハッシュ衝突に関連するサービス拒否の脆弱性を引き起こしました。

- CVE-2012-0497 Java2D が、グラフィックスレンダリングオブジェクトをネイティブレンダラーに渡す前に、当該のオブジェクトを適切にチェックしないことが判明しました。これにより、JVM のクラッシュまたは Java サンドボックスのバイパスが引き起こされる可能性があります。

- CVE-2012-0501 java.util.zip.ZipFile が使用する ZIP セントラルディレクトリパーサーは、細工された ZIP ファイルを処理する際、ネイティブコードにおいて、無限再帰に入り、サービス拒否を引き起こしました。

- CVE-2012-0502 AWT KeyboardFocusManager クラスで欠陥が見つかりました。これにより、信頼できない Java アプレットがキーボードフォーカスを取得し、機密情報を盗み出す可能性があります。

- CVE-2012-0503 java.util.TimeZone.setDefault() メソッドはセキュリティマネージャーの起動を行いませんでした。これによって信頼できない Java アプリケーションまたはアプレットが新しいデフォルトタイムゾーンを設定できます。

- CVE-2012-0505 Java シリアル化コードは、シリアル化例外に参照を漏洩しました。これにより、重要なオブジェクトが、Java アプレットおよびアプリケーション内の信頼できないコードに漏洩する可能性があります。

- CVE-2012-0506 Java の CORBA 実装は、特定の Corba オブジェクトでリポジトリ識別子（using _ids() メソッドを使用して取得可能）を適切に保護しないことが判明しました。
 これが利用されて、本来変更不可であるはずのデータが変更される可能性がありました。

- CVE-2012-0507 AtomicReferenceArray クラスの実装は、配列が予期された Object[] タイプであるかどうかを適切にチェックしませんでした。悪意のある Java アプリケーションまたはアプレットがこの欠陥を利用して、Java 仮想マシンをクラッシュさせたり、Java サンドボックスの制限をバイパスしたりする可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
61171	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の icedtea-web	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
57685	Ubuntu 10.04 LTS / 10.10 / 11.04 / 11.10：openjdk-6、openjdk-6b18 の回帰（USN-1263-2）（BEAST）	Nessus	Ubuntu Local Security Checks	2012/1/25	2022/12/5	critical
68388	Oracle Linux 6：icedtea-web（ELSA-2011-1441）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
56860	Ubuntu 10.04 LTS/10.10 LTS/11.04 LTS/11.10：icedtea-web、openjdk-6、openjdk-6b18の脆弱性（USN-1263-1）（BEAST）	Nessus	Ubuntu Local Security Checks	2011/11/17	2022/12/5	critical
75529	openSUSE セキュリティ更新：icedtea-web （openSUSE-SU-2011:1251-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
75865	openSUSE セキュリティ更新：icedtea-web （openSUSE-SU-2011:1251-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
74568	openSUSE セキュリティ更新：icedtea-web （openSUSE-SU-2012:0371-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
56745	RHEL 6：icedtea-web（RHSA-2011: 1441）	Nessus	Red Hat Local Security Checks	2011/11/9	2021/1/14	medium
56809	Mandriva Linux セキュリティアドバイザリ：java-1.6.0-openjdk（MDVSA-2011: 170）	Nessus	Mandriva Local Security Checks	2011/11/14	2022/12/5	critical
58148	Debian DSA-2420-1：openjdk-6 - 複数の脆弱性	Nessus	Debian Local Security Checks	2012/2/29	2022/3/8	critical

検出

プラグインの検索

medium

critical

medium

critical

medium

medium

medium

medium

critical

critical