リモートホストにインストールされている IBM Java のバージョンは、6.1 < 6.1.8.50 / 7.0 < 7.0.10.10 / 7.1 < 7.1.4.10 / 8.0 < 8.0.4.7 より前です。したがって、IBM セキュリティ更新 2017 年 8 月のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - IBM J9 VM クラスの検証機能の欠陥により、信頼できないコードがセキュリティマネージャーを無効にし、その権限を昇格する可能性があります。IBM X-Force ID: 126873。(CVE-2017-1376)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートのAIXホスト上にインストールされているJava SDKのバージョンは、以下のサブコンポーネントで複数の脆弱性による影響を受けます。- J9 VM class verifierコンポーネントに欠陥があり、認証されていないリモートの攻撃者が権限を昇格させる可能性があります。（CVE-2017-1376）- installpパッケージとupdatepパッケージに、セキュリティ更新プログラムが正しく適用されない欠陥があります。（CVE-2017-1541）- 2Dコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者がサービス拒否状態を引き起こす可能性があります。（CVE-2017-10053）-Securityコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-10067、CVE-2017-10116）- Scriptingコンポーネントに詳細不明な欠陥があり、認証されたリモートの攻撃者が機密性と整合性に影響を及ぼす可能性があります。（CVE-2017-10078）- Librariesコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-10087、CVE-2017-10090）- ImageIOコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-10089）-JAXPコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-10096、CVE-2017-10101）-RMIコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-10102、CVE-2017-10107）-Deploymentコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2017-10105）-Serializationコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が利用可能なメモリを枯渇させ、サービス拒否状態を発生させる可能性があります。（CVE-2017-10108、CVE-2017-10109）-AWTコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-10110）- JCEコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が秘密情報を漏えいさせる可能性があります。（CVE-2017-10115）- Deploymentコンポーネントに詳細不明な欠陥があり、ローカルの攻撃者が機密性、整合性、および可用性に影響を及ぼす可能性があります。（CVE-2017-10125）- JAX-WSコンポーネントに詳細不明な欠陥が存在するため、認証されていないリモートの攻撃者が機密性と可用性に影響を及ぼす可能性があります。（CVE-2017-10243）

java-1.7.1-ibmの更新プログラムが、Red Hat Enterprise Linux 6 SupplementaryおよびRed Hat Enterprise Linux 7 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン7リリース1には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 7がバージョン7R1 SR4-FP10にアップグレードされます。セキュリティ修正プログラム：* この更新では、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットの複数の脆弱性が修正されます。これらの欠陥の詳細については、参照セクションにリスト表示されているIBM Javaセキュリティの脆弱性のページを参照してください。（CVE-2017-10053、CVE-2017-10067、CVE-2017-10087、CVE-2017-10089、CVE-2017-10090、CVE-2017-10096、CVE-2017-10101、CVE-2017-10102、CVE-2017-10105、CVE-2017-10107、CVE-2017-10108、CVE-2017-10109、CVE-2017-10110、CVE-2017-10115、CVE-2017-10116、CVE-2017-10243）

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:2469 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - IBM JDK: Security Manager のバイパスを許可するクラス検証機能 (CVE-2017-1376)

  - OpenJDK: JPEGImageReader の未処理画像データの読み取り (2D、8169209) (CVE-2017-10053)

  - OpenJDK: 欠落するダイジェストの JAR 検証機能の不適切な処理 (セキュリティ、8169392) (CVE-2017-10067)

  - OpenJDK: Nashorn による Java API へのアクセスのブロックが不完全 (スクリプティング、8171539) (CVE-2017-10078)

  - OpenJDK: ThreadPoolExecutor における不十分なアクセスコントロールチェック (ライブラリ、8172204) (CVE-2017-10087)

  - OpenJDK: ServiceRegistry における不十分なアクセスコントロールチェック (ImageIO、8172461) (CVE-2017-10089)

  - OpenJDK: AsynchronousChannelGroupImpl における不十分なアクセスコントロールチェック (8172465、ライブラリ) (CVE-2017-10090)

  - OpenJDK: XML 変換における不十分なアクセスコントロールチェック (JAXP、8172469) (CVE-2017-10096)

  - OpenJDK: com.sun.org.apache.xml.internal.resolver への無制限アクセス (JAXP、8173286) (CVE-2017-10101)

  - OpenJDK: DGC における参照の不適切な処理 (RMI、8163958) (CVE-2017-10102)

  - Oracle JDK: 6u161、7u151、および 8u141 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2017-10105)

  - OpenJDK: ActivationID における不十分なアクセスコントロールチェック (RMI、8173697) (CVE-2017-10107)

  - OpenJDK: BasicAttribute 逆シリアル化における無制限のメモリ割り当て (シリアル化、8174105) (CVE-2017-10108)

  - OpenJDK: CodeSource 逆シリアル化における無制限のメモリ割り当て (シリアル化、8174113) (CVE-2017-10109)

  - OpenJDK: ImageWatched における不十分なアクセスコントロールチェック (AWT、8174098) (CVE-2017-10110)

  - OpenJDK: DSA 実装タイミング攻撃 (JCE、8175106) (CVE-2017-10115)

  - OpenJDK: LDAP 以外の URL への紹介に続く LDAPCertStore (セキュリティ、8176067) (CVE-2017-10116)

  - OpenJDK: wsdlimport での安全でない XML 解析 (JAX-WS、8182054) (CVE-2017-10243)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
160366	IBM Java 6.1 < 6.1.8.50 / 7.0 < 7.0.10.10 / 7.1 < 7.1.4.10 / 8.0 < 8.0.4.7	Nessus	Misc.	2022/4/29	2022/4/29	critical
103191	AIX Javaアドバイザリ： java_july2017_advisory.asc（2017年7月CPU）	Nessus	AIX Local Security Checks	2017/9/13	2023/4/21	critical
102536	RHEL 6/7：java-1.7.1-ibm（RHSA-2017:2481）	Nessus	Red Hat Local Security Checks	2017/8/17	2019/10/24	critical
102492	RHEL 6/7：java-1.8.0-ibm（RHSA-2017:2469）	Nessus	Red Hat Local Security Checks	2017/8/15	2024/4/24	critical

検出

プラグインの検索

critical

critical

critical

critical