java-1.8.0-oracleの更新プログラムが、Oracle Java for Red Hat Enterprise Linux 6およびOracle Java for Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Oracle Java SEバージョン8には、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットが含まれます。この更新プログラムで、Oracle Java SE 8がバージョン8 Update 121にアップグレードされます。セキュリティ修正プログラム：* この更新では、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットにある複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションに一覧表示されているOracle Java SE Critical Patch Updateアドバイザリのページを参照してください。（CVE-2016-2183、CVE-2016-5546、CVE-2016-5547、CVE-2016-5548、CVE-2016-5549、CVE-2016-5552、CVE-2016-8328、CVE-2017-3231、CVE-2017-3241、CVE-2017-3252、CVE-2017-3253、CVE-2017-3259、CVE-2017-3261、CVE-2017-3262、CVE-2017-3272、CVE-2017-3289）この更新では、3DES暗号スイートを（jdk.tls.legacyAlgorithmsセキュリティプロパティを使用して定義された）レガシーアルゴリズムのリストに追加することでCVE-2016-2183の問題を緩和し、レガシーアルゴリズムは、接続するTLS/SSLクライアントとサーバーが他のレガシー以外の暗号スイートを共有しない場合にのみ使用されます。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、8は更新プログラム121、7は更新プログラム131、6は更新プログラム141より前です。したがって、複数の脆弱性の影響を受けます。- 弱い64ビットブロック暗号をデフォルトで使用するため、SWEET32と呼ばれるLibrariesサブコンポーネントの脆弱性が3DESおよびBlowfishアルゴリズムにあります。十分なリソースを持つ中間にいる攻撃者が、「誕生日」攻撃を通じて、この脆弱性を悪用し、固定された秘密情報と既知の平文の間でXORを漏えいする衝突を検出します。これにより、安全なHTTPクッキーなどの秘密のテキストが漏えいし、認証されたセッションの乗っ取りが引き起こされる可能性があります。（CVE-2016-2183）-Librariesサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2016-5546) - Librariesサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者がサービス拒否状態を発生させる可能性があります。（CVE-2016-5547）-Librariesサブコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が秘密情報を開示できます。（CVE-2016-5548、CVE-2016-5549）-Networkingサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2016-5552）-ミッションコントロールサブコンポーネントに詳細不明なの欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2016-8328）-Networkingサブコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が秘密情報を開示できます。（CVE-2017-3231、CVE-2017-3261）-RMIサブコンポーネントには、認証されていないリモートの攻撃者が任意のコードを実行する可能性のある詳細不明な欠陥があります。（CVE-2017-3241）-JAASサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が整合性に影響を及ぼす可能性があります。（CVE-2017-3252) - 2Dサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者がサービス拒否状態を発生させる可能性があります。（CVE-2017-3253）-Deploymentサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が秘密情報を開示する可能性があります。（CVE-2017-3259）-AWTサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3260）-Java Mission Controlサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3262）-Librariesサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3272）-ホットスポットサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3289）CVE-2017-3241は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレット（Webサービスなど）を使用しなくとも、指定されたコンポーネント内のAPIにデータを供給するだけで悪用される可能性があります。CVE-2016-2183、CVE-2016-5546、CVE-2016-5547、CVE-2016-5552、CVE-2017-3252、およびCVE-2017-3253は、サンドボックス化されたJava Web Startアプリケーションとサンドボックス化されたJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネント内のAPIにデータを提供することで悪用される可能性があります。

リモートホストは、GLSA-201701-65（Oracle JRE/JDK：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がOracleのJREおよびJDKで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、プロセスの権限で任意のコードを実行したり、情報へのアクセス権を取得したり、サービス拒否状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、8は更新プログラム121、7は更新プログラム131、6は更新プログラム141より前です。したがって、以下の複数の脆弱性による影響を受けます。

  - A vulnerability exists in the Libraries subcomponent, known as SWEET32, in the 3DES and Blowfish algorithms due to the use of weak 64-bit block ciphers by default.
    十分なリソースを持つ中間にいる攻撃者が、「誕生日」攻撃を通じてこの脆弱性を悪用し、固定された秘密情報と既知の平文の間でXORを漏洩する衝突を検出します。これにより、安全なHTTPクッキーなどの秘密のテキストが漏洩し、認証されたセッションの乗っ取りが引き起こされる可能性があります。（CVE-2016-2183）

  - An unspecified flaw exists in the Libraries subcomponent that allows an unauthenticated, remote attacker to impact integrity. (CVE-2016-5546)

  - An unspecified flaw exists in the Libraries subcomponent that allows an unauthenticated, remote attacker to cause a denial of service condition. (CVE-2016-5547)

  - Multiple unspecified flaws exist in the Libraries subcomponent that allow an unauthenticated, remote attacker to disclose sensitive information.
    (CVE-2016-5548, CVE-2016-5549)

  - An unspecified flaw exists in the Networking subcomponent that allows an unauthenticated, remote attacker to impact integrity. (CVE-2016-5552)

  - An unspecified flaw exists in the Mission Control subcomponent that allows an unauthenticated, remote attacker to impact integrity. (CVE-2016-8328)

  - Multiple unspecified flaws exist in the Networking subcomponent that allow an unauthenticated, remote attacker to disclose sensitive information.
    (CVE-2017-3231, CVE-2017-3261)

  - An unspecified flaw exists in the RMI subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3241)

  - An unspecified flaw exists in the JAAS subcomponent that allows an unauthenticated, remote attacker to impact integrity. (CVE-2017-3252)

  - An unspecified flaw exists in the 2D subcomponent that allows an unauthenticated, remote attacker to cause a denial of service condition. (CVE-2017-3253)

  - An unspecified flaw exists in the Deployment subcomponent that allows an unauthenticated, remote attacker to disclose sensitive information.
    (CVE-2017-3259)

  - An unspecified flaw exists in the AWT subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3260)

  - An unspecified flaw exists in the Java Mission Control subcomponent that allows an unauthenticated, remote attacker to disclose sensitive information.
    (CVE-2017-3262)

  - An unspecified flaw exists in the Libraries subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3272)

  - An unspecified flaw exists in the Hotspot subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3289)

CVE-2017-3241は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレット（Webサービスなど）を使用しなくとも、指定されたコンポーネント内のAPIにデータを供給するだけで悪用される可能性があります。
CVE-2016-2183、CVE-2016-5546、CVE-2016-5547、CVE-2016-5552、CVE-2017-3252、およびCVE-2017-3253は、サンドボックス化されたJava Web Startアプリケーションとサンドボックス化されたJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネント内のAPIにデータを提供することで悪用される可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
96650	RHEL 6/7：java-1.8.0-oracle（RHSA-2017:0175）	Nessus	Red Hat Local Security Checks	2017/1/20	2019/10/24	critical
96629	Oracle Java SEの複数の脆弱性（2017年1月CPU）（SWEET32）	Nessus	Misc.	2017/1/19	2024/4/19	critical
96787	GLSA-201701-65：Oracle JRE/JDK：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/1/26	2021/1/11	critical
96628	Oracle Java SEの複数の脆弱性（2017 年 1 月のCPU）（SWEET32）	Nessus	Windows	2017/1/19	2022/4/11	critical

検出

プラグインの検索

critical

critical

critical

critical