java-1_8_0-ibm用のこの更新プログラムでは、以下の問題が修正されています：

Java 8.0 Service Refresh 5 Fix Pack 40に更新してください。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-11771：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-11772：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-11775：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-4473：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-7317：コンポーネントAWT（libpng）内の問題を修正しました（bsc#1141780）。

CVE-2019-2769：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141783）。

CVE-2019-2762：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141782）。

CVE-2019-2816：コンポーネントネットワーク内の問題を修正します（bsc#1141785）。

CVE-2019-2766：コンポーネントネットワーク内の問題を修正します（bsc#1141789）。

CVE-2019-2786：コンポーネントセキュリティ内の問題を修正します（bsc#1141787）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの SUSE Linux SLES11ホストには、SUSE-SU-2019:14160-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.15.0 より前の Eclipse OpenJ9 の AIX ビルドには、未使用の RPATH が含まれており、ローカルユーザーによるコードインジェクションや権限昇格を容易にする可能性があります。(CVE-2019-11771)

  - 0.15より前の Eclipse OpenJ9 のすべてのビルドには、バージョン管理によってループから引き出された値のプライベート化に失敗する可能性があるバグが含まれています。たとえば、フィールドを読み取るループから移動された状態がある場合、ループの変更されたコピーでそのフィールドの値をプライベート化しない可能性があります。これにより、テストでフィールドの 1 つの値を確認し、その後、ループから移動された状態を再テストすることなく、変更されたフィールドの値を確認できます。これにより、さまざまな問題が発生する可能性がありますが、配列境界外の読み取りは、これらの問題の主な結果の 1 つです。(CVE-2019-11775)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性(サブコンポーネント: ユーティリティ)。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u221、8u212、11.0.3および12.0.1; Java SE Embedded:
    8u211。容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否(部分的DOS)が権限なしで引き起こされる可能性があります。
    注: この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを(Java SE 8で)実行しているクライアントで、信頼できないコード(インターネットからのコードなど)を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって(たとえばAPIにデータを提供するWebサービスを通して)悪用される可能性もあります。CVSS 3.0ベーススコア5.3 (可用性に影響)。CVSS Vector:
    (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L ) 。 (CVE-2019-2762、CVE-2019-2769 )

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性(サブコンポーネント: ネットワーキング)。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u221、8u212、11.0.3および12.0.1; Java SE Embedded:
    8u211。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを(Java SE 8で)実行しているクライアントで、信頼できないコード(インターネットからのコードなど)を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって(たとえばAPIにデータを提供するWebサービスを通して)悪用される可能性もあります。CVSS 3.0ベーススコア3.1 (機密性に影響) CVSS Vector: (CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N)。(CVE-2019-2766)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性(サブコンポーネント: ネットワーキング)。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u221、8u212、11.0.3および12.0.1; Java SE Embedded:
    8u211。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセス可能な一部のデータが権限なしで更新、挿入または削除され、Java SE、Java SE Embedded がアクセス可能なデータサブセットへの権限のない読み取りアクセスが可能になる可能性があります。注: この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを(Java SE 8で)実行しているクライアントで、信頼できないコード(インターネットからのコードなど)を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって(たとえばAPIにデータを提供するWebサービスを通して)悪用される可能性もあります。CVSS 3.0ベーススコア4.8(機密性と整合性への影響) CVSS Vector:
    (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)。(CVE-2019-2816)

  - AIX プラットフォームの IBM SDK、Java Technology Edition 7、7R、および 8 の複数のバイナリは、安全でない絶対 RPATH を使用します。これにより、ローカルユーザーによるコードインジェクションと権限昇格が容易になることがあります。IBM X-Force ID: 163984。(CVE-2019-4473)

  -1.6.37より前libpng1.6.xにおけるpng.cには、png_image_free_functionがpng_safe_execute下で呼び出されるため、メモリ解放後使用(Use-After-Free)があります。(CVE-2019-7317)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている IBM Java のバージョンは、7.0 < 7.0.10.50 / 7.1 < 7.1.4.50 / 8.0 < 8.0.5.40 より前です。したがって、IBM セキュリティ更新 2019 年 7 月のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - AIX プラットフォームの IBM SDK、Java Technology Edition 7、7R、および 8 の複数のバイナリは、安全でない絶対 RPATH を使用します。これにより、ローカルユーザーによるコードインジェクションと権限昇格が容易になることがあります。IBM X-Force ID: 163984。(CVE-2019-4473)

  - 0.15.0 より前の Eclipse OpenJ9 の AIX ビルドには、未使用の RPATH が含まれており、ローカルユーザーによるコードインジェクションや権限昇格を容易にする可能性があります。(CVE-2019-11771)

  - 0.15より前の Eclipse OpenJ9 では、String.getBytes (int、int、byte[]、int) メソッドは、提供されたバイト配列が null でないことや、提供されたインデックスが JIT によってコンパイルされたときに境界内にあることを検証しません。
    これにより、32 ビットアドレスへの任意の書き込み、または SecurityManager の下で実行される Java コード内のバイト配列の終端を超える書き込みが可能になります。(CVE-2019-11772)

  - 0.15より前の Eclipse OpenJ9 のすべてのビルドには、バージョン管理によってループから引き出された値のプライベート化に失敗する可能性があるバグが含まれています。たとえば、フィールドを読み取るループから移動された状態がある場合、ループの変更されたコピーでそのフィールドの値をプライベート化しない可能性があります。これにより、テストでフィールドの 1 つの値を確認し、その後、ループから移動された状態を再テストすることなく、変更されたフィールドの値を確認できます。これにより、さまざまな問題が発生する可能性がありますが、配列境界外の読み取りは、これらの問題の主な結果の 1 つです。(CVE-2019-11775)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

java-1_7_1-ibm用のこの更新プログラムでは、以下の問題が修正されています：

Java 7.1 Service Refresh 4 Fix Pack 50に更新してください。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-11771：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-11775：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-4473：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-7317：コンポーネントAWT（libpng）内の問題を修正しました（bsc#1141780）。

CVE-2019-2769：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141783）。

CVE-2019-2762：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141782）。

CVE-2019-2816：コンポーネントネットワーク内の問題を修正します（bsc#1141785）。

CVE-2019-2766：コンポーネントネットワーク内の問題を修正します（bsc#1141789）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
128520	SUSE SLED15 / SLES15セキュリティ更新プログラム：java-1_8_0-ibm（SUSE-SU-2019:2291-1）	Nessus	SuSE Local Security Checks	2019/9/5	2024/4/29	critical
150540	SUSE SLES11セキュリティ更新プログラム:java-1_7_1-ibm (SUSE-SU-2019:14160-1)	Nessus	SuSE Local Security Checks	2021/6/10	2023/12/26	high
160339	IBM Java 7.0 < 7.0.10.50 / 7.1 < 7.1.4.50 / 8.0 < 8.0.5.40 の複数の脆弱性	Nessus	Misc.	2022/4/29	2022/4/29	critical
128628	SUSE SLES12セキュリティ更新プログラム：java-1_7_1-ibm（SUSE-SU-2019:2336-1）	Nessus	SuSE Local Security Checks	2019/9/10	2024/4/26	high
128872	SUSE SLES12セキュリティ更新プログラム：java-1_8_0-ibm（SUSE-SU-2019:2371-1）	Nessus	SuSE Local Security Checks	2019/9/16	2024/4/25	critical

検出

プラグインの検索

critical

high

critical

high

critical