リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、10は更新プログラム2、8は更新プログラム181、7は更新プログラム191、6は更新プログラム201より前です。したがって、次のコンポーネントに関連する複数の脆弱性の影響を受けます。

  - Concurrency. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2952)

  - Deployment. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2964)

  - JSSE. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2973)

  - Java DB. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE. (CVE-2018-2938)

  - JavaFX. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE. (CVE-2018-2941)

  - Libraries. An easily exploitable vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE. (CVE-2018-2940)

  - Security. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2972)

  - Windows DLL. A difficult to exploit vulnerability allows an unauthenticated attacker with network access via multiple protocols to compromise Java SE (CVE-2018-2942)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Java-1.8.0-oracle用の更新プログラムが、Red Hat Enterprise Linux 6のOracle Javaで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Oracle Java SEバージョン8には、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットが含まれます。この更新プログラムで、Oracle Java SE 8がバージョン8 Update 181にアップグレードされます。セキュリティ修正プログラム：* Oracle JDK：7u191、8u181、10.0.2で詳細不明な脆弱性を修正（JavaFX）（CVE-2018-2941）* Oracle JDK：8u181、10.0.2で詳細不明な脆弱性を修正（デプロイメント）（CVE-2018-2964）* Oracle JDK：6u201、7u191、8u181、10.0.2で詳細不明な脆弱性を修正（ライブラリ）（CVE-2018-2940）* OpenJDK：PatternSyntaxException getMessage()における不十分なインデックス検証（並行処理、8199547）（CVE-2018-2952）* OracleJDK：6u201、7u191、8u181、10.0.2で詳細不明な脆弱性を修正（JSSE）（CVE-2018-2973）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、10は更新プログラム2、8は更新プログラム181、7は更新プログラム191、6は更新プログラム201より前です。したがって、次のコンポーネントに関連する複数の脆弱性の影響を受けます。- 並行処理悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2952）- Deployment 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2964）- JSSE 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2973）- Java DB 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2938） - JavaFX 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2941）- Libraries 容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2940）- Security 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2972）- Windows DLL 悪用の難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEを侵害する可能性があります。（CVE-2018-2942）Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このjava-1_8_0-ibmの8.0.5.20への更新では、次のセキュリティ問題を修正します：

CVE-2018-2952：サブコンポーネントの脆弱性：同時実行性。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害することができました。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockitの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります（bsc#1104668）

CVE-2018-2940：サブコンポーネントの脆弱性：Libraries 容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害することができました。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedaがアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります（bsc#1104668）

CVE-2018-2973：サブコンポーネントの脆弱性：JSSE。悪用が難しい脆弱性ですが、認証されていない攻撃者がSSL/TLSを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害することができました。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります（bsc#1104668）

CVE-2018-2964：サブコンポーネントの脆弱性：展開。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害することができました。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。（bsc#1104668）

CVE-2016-0705：リモート攻撃者が、無効な形式のDSA秘密鍵を介して、サービス拒否（メモリ破損）を引き起こし、詳細不明なその他の影響を及ぼすことが可能だったdsa_priv_decode関数の二重解放を防ぎます（bsc#1104668）

CVE-2017-3732：x86_64 Montgomery二乗プロシージャでキャリー伝播のバグを防ぎます（bsc#1104668）

CVE-2017-3736：x86_64 Montgomery二乗プロシージャでキャリー伝播のバグを防ぎます（bsc#1104668）

CVE-2018-1517：特定されない脆弱性（bsc#1104668）

CVE-2018-1656：特定されない脆弱性（bsc#1104668）

CVE-2018-12539：プロセス所有者以外のユーザーが、同じマシン上でJava Attach APIを使用してIBM JVMに接続して、Attach APIを使用できる可能性がありました。これには、信頼できないネイティブコードの実行が含まれます。（bsc#1104668）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Java-1.8.0-oracle用の更新プログラムが、Red Hat Enterprise Linux 7のOracle Javaで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Oracle Java SEバージョン8には、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットが含まれます。この更新プログラムで、Oracle Java SE 8がバージョン8 Update 181にアップグレードされます。セキュリティ修正プログラム：* Oracle JDK：7u191、8u181、10.0.2で詳細不明な脆弱性を修正（JavaFX）（CVE-2018-2941）* Oracle JDK：8u181、10.0.2で詳細不明な脆弱性を修正（デプロイメント）（CVE-2018-2964）* Oracle JDK：6u201、7u191、8u181、10.0.2で詳細不明な脆弱性を修正（ライブラリ）（CVE-2018-2940）* OpenJDK：PatternSyntaxException getMessage()における不十分なインデックス検証（並行処理、8199547）（CVE-2018-2952）* OracleJDK：6u201、7u191、8u181、10.0.2で詳細不明な脆弱性を修正（JSSE）（CVE-2018-2973）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

The version of Oracle JRockit installed on the remote Windows host is R28.3.18. したがって、複数の脆弱性の影響を受けます。
詳細については、アドバイザリを参照してください。

リモートホストにインストールされている IBM Java のバージョンは、6.0 < 6.0.16.70/ 6.1< 6.1.8.70/ 7.0< 7.0.10.30/ 7.1< 7.1.4.30/ 8.0< 8.0.5.20より前です。したがって、Oracle の 2018 年 7 月 17 日の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性 (サブコンポーネント：ライブラリ) 。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u191、7u181、8u172および 10.0.1。Java SE Embedded :  8u171。
    容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-2940)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント: 
    同時実行性)。サポートされているバージョンで影響を受けるのは、Java SE: 6u191、7u181、8u172および 10.0.1。Java SE Embedded :  8u171。JRockit : R28.3.18。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockit の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注：クライアントとサーバーへの Java のデプロイメントが対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレットを、たとえば Web サービス経由で使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用される可能性があります。
    (CVE-2018-2952)

  - Oracle Java SE の Java SE コンポーネントの脆弱性 (サブコンポーネント: Deployment)。サポートされているバージョンで影響を受けるのは、Java SE: 8u172 および 10.0.1。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはJava SEですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。注意：この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-2964)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性 (サブコンポーネント：JSSE)。サポートされているバージョンで影響を受けるのは、Java SE: 6u191、7u181、8u172および 10.0.1。Java SE Embedded :  8u171。悪用が難しい脆弱性ですが、認証されていない攻撃者が SSL / TLS を介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Java SE、Java SE Embedded がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意：
    この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-2973)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

java-1_8_0-ibmから8.0.5.20用のこの更新プログラムでは、以下の問題が修正されています：

CVE-2018-2952：サブコンポーネントの脆弱性：同時実行性。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害することができました。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockitの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります（bsc#1104668）。

CVE-2018-2940：サブコンポーネントの脆弱性：Libraries 容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害することができました。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedaがアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります（bsc#1104668）。

CVE-2018-2973：サブコンポーネントの脆弱性：JSSE。悪用が難しい脆弱性ですが、認証されていない攻撃者がSSL/TLSを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害することができました。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります（bsc#1104668）。

CVE-2018-2964：サブコンポーネントの脆弱性：展開。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害することができました。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。（bsc#1104668）

CVE-2016-0705：リモート攻撃者が、無効な形式のDSA秘密鍵を介して、サービス拒否（メモリ破損）を引き起こし、詳細不明なその他の影響を及ぼすことが可能だったdsa_priv_decode関数の二重解放を防ぎます（bsc#1104668）

CVE-2017-3732：x86_64 Montgomery二乗プロシージャでキャリー伝播のバグを防ぎます（bsc#1104668）

CVE-2017-3736：x86_64 Montgomery二乗プロシージャでキャリー伝播のバグを防ぎます（bsc#1104668）

CVE-2018-12539：プロセス所有者以外のユーザーが、同じマシン上でJava Attach APIを使用してIBM JVMに接続して、Attach APIを使用できる可能性がありました。これには、信頼できないネイティブコードの実行が含まれます。（bsc#1104668）

CVE-2018-1517：特定されない脆弱性（bsc#1104668）。

CVE-2018-1656：特定されない脆弱性（bsc#1104668）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111163	Oracle Java SEの複数の脆弱性（2018年7月CPU）	Nessus	Windows	2018/7/20	2022/4/11	critical
111327	RHEL 6：java-1.8.0-oracle（RHSA-2018:2256）	Nessus	Red Hat Local Security Checks	2018/7/25	2019/10/24	high
111162	Oracle Java SEの複数の脆弱性（2018年7月CPU）（Unix）	Nessus	Misc.	2018/7/20	2024/4/19	critical
117700	SUSE SLES12セキュリティ更新プログラム：java-1_8_0-ibm（SUSE-SU-2018:2839-1）	Nessus	SuSE Local Security Checks	2018/9/25	2022/3/25	critical
111324	RHEL 7：java-1.8.0-oracle（RHSA-2018:2253）	Nessus	Red Hat Local Security Checks	2018/7/25	2024/4/27	high
111214	Oracle JRockit R28.3.18 Multiple Vulnerabilities (July 2018 CPU)	Nessus	Windows	2018/7/20	2019/11/4	critical
160361	IBM Java 6.0< 6.0.16.70/ 6.1< 6.1.8.70/ 7.0< 7.0.10.30/ 7.1< 7.1.4.30/ 8.0< 8.0.5.20複数の脆弱性 (2016 年 1 月 17 日)	Nessus	Misc.	2022/4/29	2022/10/25	high
118293	SUSE SLES12セキュリティ更新プログラム：java-1_8_0-ibm（SUSE-SU-2018:2839-2）	Nessus	SuSE Local Security Checks	2018/10/22	2022/2/4	critical
120126	SUSE SLES15セキュリティ更新プログラム：java-1_8_0-ibm（SUSE-SU-2018:3082-1）	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/16	critical

検出

プラグインの検索

critical

high

critical

critical

high

critical

high

critical

critical