リモート AIX ホスト上にインストールされている Java SDK のバージョンは、複数の脆弱性に影響を受けます。

- Global Security Kit（GSKit）には、TLS 状態移行の不適切な制限による欠陥が含まれています。中間者攻撃者がこれを悪用して、セッションのセキュリティをダウングレードすることで EXPORT_RSA 暗号を使用する可能性があります。
 これにより、攻撃者はより簡単に暗号化を突破し、暗号化ストリームをモニターまたは改ざんすることが可能です。(CVE-2015-0138)

- 詳細不明の欠陥が存在しており、攻撃者は昇格された権限を用いて、セキュリティマネージャー下で動作するコードを実行することが可能です。（CVE-2015-0192）

- FREAK（RSA-EXPORT キーに対するファクター攻撃）と呼ばれるセキュリティ機能のバイパスの脆弱性が存在します。これは、512 ビッド以下のキーで弱い EXPORT_RSA 暗号化パッケージがサポートされているため、存在します。中間者攻撃により、EXPORT_RSA 暗号化パッケージを使用するように SSL/TLS 接続をダウングレードすることができ、これは短時間でファクタリング可能であり、攻撃者がトラフィックを傍受したり復号したりするおそれがあります。(CVE-2015-0204)

- 2D、Beans、Deployment、JCE、JSSEなどの複数の Java サブコンポーネントおよびツールに、複数の詳細不明の脆弱性が存在します。（CVE-2015-0458、CVE-2015-0459、CVE-2015-0469、CVE-2015-0477、CVE-2015-0478、CVE-2015-0480、CVE-2015-0486、CVE-2015-0488、CVE-2015-0491）

- 詳細不明の欠陥が存在しており、リモートの攻撃者は権限チェックをバイパスし、機密情報へのアクセスを取得することが可能です。(CVE-2015-1914)

- Socket Extension Provider の TLS および SSL 接続の処理による、詳細不明の欠陥が存在します。リモートの攻撃者が、これを悪用することにより、サービス拒否を引き起こす可能性があります。
 (CVE-2015-1916)

- 初期化フェーズの RC4 暗号化アルゴリズムによる、キーデータと状態データの不適切な組み合わせにより、Bar Mitzvah として知られるセキュリティ機能バイパスの脆弱性が存在しています。中間者攻撃を行う攻撃者はこれを悪用して、LSB 値を用いたブルートフォース攻撃によりトラフィックを復号化できます。(CVE-2015-2808)

リモートホストにインストールされている Oracle（旧 Sun）Java SE または Java for Business は、 8 Update 45、7 Update 79、6 Update 95、または 5 Update 85 より前のバージョンです。したがって、次のコンポーネントでセキュリティの脆弱性による影響を受けます：

  - 2D
  - Beans
  - Deployment
  - Hotspot
  - JavaFX
  - JCE
  - JSSE
  - Tools

OpenJDK が jdk8u45-b14 に更新され、セキュリティ問題とバグが修正されました。

次の脆弱性が修正されました：

- CVE-2015-0458：展開：認証されていないリモートの攻撃者が、複数のプロトコルを介して任意のコードを実行する可能性があります。

- CVE-2015-0459：2D：認証されていないリモートの攻撃者が、複数のプロトコルを介して任意のコードを実行する可能性があります。

- CVE-2015-0460：ホットスポット：認証されていないリモートの攻撃者が、複数のプロトコルを介して任意のコードを実行する可能性があります。

- CVE-2015-0469：2D：認証されていないリモートの攻撃者が、複数のプロトコルを介して任意のコードを実行する可能性があります。

- CVE-2015-0470：ホットスポット：認証されていないリモートの攻撃者が、複数のプロトコルを通じて、アクセス可能な一部の JAVA データを更新、挿入、または削除する可能性があります

- CVE-2015-0477：Beans：認証されていないリモートの攻撃者が、複数のプロトコルを通じて、アクセス可能な一部の JAVA データを更新、挿入、または削除する可能性があります

- CVE-2015-0478：JCE：認証されていないリモートの攻撃者が、複数のプロトコルを通じて、アクセス可能な一部の JAVA データを読み取る可能性があります

- CVE-2015-0480：ツール：認証されていないリモートの攻撃者が、複数のプロトコルを通じて、アクセス可能な一部の JAVA データを更新、挿入、または削除し、そして部分的なサービス拒否（部分的な DOS）を引き起こす可能性があります

- CVE-2015-0484：JavaFX：認証されていないリモートの攻撃者が、複数のプロトコルを介してアクセス可能な JAVA データを読み取り、更新、挿入または削除し、部分的なサービス拒否（部分的な DOS）を引き起こす恐れがあります。

- CVE-2015-0486：ディプロイメント：認証されていないリモートの攻撃者が、複数のプロトコルを通じて、アクセス可能な一部の JAVA データを読み取る可能性があります

- CVE-2015-0488：JSSE：認証されていないリモートの攻撃者が、部分的なサービス拒否（部分的な DOS）を引き起こす可能性があります。

- CVE-2015-0491：2D：認証されていないリモートの攻撃者が、複数のプロトコルを介して任意のコードを実行する可能性があります。

- CVE-2015-0492：JavaFX：認証されていないリモートの攻撃者が、複数のプロトコルを介して任意のコードを実行する可能性があります。

複数のセキュリティ問題を修正する更新済みの java-1.8.0-oracle パッケージが、Oracle Java for Red Hat Enterprise Linux 6 および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Oracle Java SE バージョン 8 には、Oracle Java Runtime Environment および Oracle Java ソフトウェア開発キットが含まれています。

この更新では、Oracle Java Runtime Environment および Oracle Java ソフトウェア開発キットのいくつかの脆弱性が修正されます。これらの欠陥の詳細については、Oracle Java SE Critical Patch Update アドバイザリページの「参照」セクションを参照してください。
（CVE-2005-1080、CVE-2015-0458、 CVE-2015-0459、CVE-2015-0460、CVE-2015-0469、 CVE-2015-0470、CVE-2015-0477、CVE-2015-0478、 CVE-2015-0480、CVE-2015-0484、CVE-2015-0486、 CVE-2015-0488、CVE-2015-0491、CVE-2015-0492）

CVE-2015-0478 の問題は、 Red Hat 製品セキュリティの Florian Weimer によって検出されました。

java-1.8.0-oracle の全ユーザーは、Oracle Java 8 Update 45 が提供されるこれらの更新済みパッケージへアップグレードし、これらの問題を解決することが推奨されます。この更新を有効にするには、 Oracle Java の実行中のインスタンスをすべて再起動する必要があります。

リモートホストは、GLSA-201603-11（Oracle JRE/JDK：複数の脆弱性）で説明されている脆弱性の影響を受けます

Oracle&rsquo;s JRE および JDK の両方に複数の脆弱性が存在します。詳細情報については、参照されている CVE&rsquo;s を確認してください。
 影響：

リモートの攻撃者が情報へのアクセスを取得し、任意のコードをリモートで実行し、サービス拒否を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

リモートホストにインストールされている Oracle (旧 Sun) Java SE または Java for Business は、8 Update 45、7 Update 79、6 Update 95、または 5 Update 85 より前のバージョンです。したがって、次のコンポーネントでセキュリティの脆弱性による影響を受けます：

  - 2D
  - Beans
  - Deployment
  - Hotspot
  - JavaFX
  - JCE
  - JSSE
  - Tools

ID	名前	製品	ファミリー	公開日	更新日	深刻度
84087	AIX Java アドバイザリ：java_april2015_advisory.asc（Bar Mitzvah）（FREAK）	Nessus	AIX Local Security Checks	2015/6/10	2023/4/21	critical
82820	Oracle Java SE の複数の脆弱性（2015 年 4 月 CPU）（FREAK）	Nessus	Windows	2015/4/16	2022/4/11	critical
83107	openSUSE セキュリティ更新：java-1_8_0-openjdk （openSUSE-2015-332）	Nessus	SuSE Local Security Checks	2015/4/28	2021/1/19	critical
82897	RHEL 6 / 7 : java-1.8.0-oracle（RHSA-2015:0854）	Nessus	Red Hat Local Security Checks	2015/4/20	2019/10/24	critical
89904	GLSA-201603-11：Oracle JRE/JDK：複数の脆弱性（Logjam）	Nessus	Gentoo Local Security Checks	2016/3/14	2022/12/5	low
82821	Oracle Java SE の複数の脆弱性（2015 年 4 月 CPU）（UNIX）（FREAK）	Nessus	Misc.	2015/4/16	2024/4/19	high

検出

プラグインの検索

critical

critical

critical

critical

low

high