java-1.8.0-ibmの更新プログラムが、Red Hat Satellite 5.8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8をバージョン 8 SR5-FP30にアップグレードします。セキュリティ修正プログラム：* IBM JDK：jio_snprintf()およびjio_vsnprintf()でのバッファオーバーフロー（CVE-2018-12547）* IBM JDK：安全でない呼び出しを高速化するとnullチェックが行われない（CVE-2018-12549）* OpenJDK：FileChannelImplのメモリ漏えい（Libraries、8206290）（CVE-2019-2422）* libjpeg-turbo：jmemmgr.cのalloc_sarray関数でのゼロ除算（CVE-2018-11212）* Oracle JDK：8u201（Deployment）で修正されている詳細不明な脆弱性（CVE-2019-2449）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

このjava-1_8_0-ibmのバージョン8.0.5.30への更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2019-2422：FileChannelImplでのメモリ漏洩を修正しました（bsc#1122293）。

CVE-2018-11212：jmemmgr.cのalloc_sarray関数での問題を修正しました（bsc#1122299）。

CVE-2018-1890：RPATHによるローカルの権限昇格を修正しました（bsc#1128158）。

CVE-2019-2449：リモート攻撃者が任意のファイルを削除することが可能になる脆弱性を修正しました（bsc#1122292）。

詳細情報：
https://www-01.ibm.com/support/docview.wss?uid=ibm10873332

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

java-1_8_0-ibm用のこの更新プログラムでは、以下の問題が修正されています：

Java 8.0 Service Refresh 5 Fix Pack 40に更新してください。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-11771：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-11772：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-11775：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-4473：IBMセキュリティ更新プログラム2019年7月（bsc#1147021）

CVE-2019-7317：コンポーネントAWT（libpng）内の問題を修正しました（bsc#1141780）。

CVE-2019-2769：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141783）。

CVE-2019-2762：コンポーネントユーティリティ（libpng）内の問題を修正しました（bsc#1141782）。

CVE-2019-2816：コンポーネントネットワーク内の問題を修正します（bsc#1141785）。

CVE-2019-2766：コンポーネントネットワーク内の問題を修正します（bsc#1141789）。

CVE-2019-2786：コンポーネントセキュリティ内の問題を修正します（bsc#1141787）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

java-1.8.0-ibmの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8がバージョン8 SR5-FP35にアップグレードされます。セキュリティ修正プログラム：* IBM JDK：jio_snprintf()およびjio_vsnprintf()でのバッファオーバーフロー（CVE-2018-12547）* IBM JDK：安全でない呼び出しを高速化するとnullチェックが行われない（CVE-2018-12549）* Oracle JDK：7u221および8u211で修正された詳細不明な脆弱性（2D）（CVE-2019-2697）* OpenJDK：setCurrGlyphID()へのフォントレイアウトエンジンの範囲外アクセス（2D、8219022）（CVE-2019-2698）* OpenJDK：FileChannelImplでのメモリ漏えい（Libraries、8206290）（CVE-2019-2422）* OpenJDK：BigDecimalからlongへの変換が遅い（Libraries、8211936）（CVE-2019-2602）* OpenJDK：RMIレジストリサーバー側のディスパッチ処理における誤ったスケルトン選択（RMI、8218453）（CVE-2019-2684）* IBM JDK：JVMクラッシュの原因となるバイトコード配列の末尾を超えた読み取り（CVE-2019-10245）* libjpeg-turbo：jmemmgr.cのalloc_sarray関数でのゼロ除算（CVE-2018-11212）* Oracle JDK：8u201（Deployment）で修正されている詳細不明な脆弱性（CVE-2019-2449）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1.8.0-ibmの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8をバージョン 8 SR5-FP30にアップグレードします。セキュリティ修正プログラム：* IBM JDK：jio_snprintf()およびjio_vsnprintf()でのバッファオーバーフロー（CVE-2018-12547）* IBM JDK：安全でない呼び出しを高速化するとnullチェックが行われない（CVE-2018-12549）* OpenJDK：FileChannelImplのメモリ漏えい（Libraries、8206290）（CVE-2019-2422）* libjpeg-turbo：jmemmgr.cのalloc_sarray関数でのゼロ除算（CVE-2018-11212）* Oracle JDK：8u201（Deployment）で修正されている詳細不明な脆弱性（CVE-2019-2449）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1.8.0-ibmの更新プログラムが、Red Hat Enterprise Linux 7 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8をバージョン 8 SR5-FP30にアップグレードします。セキュリティ修正プログラム：* IBM JDK：jio_snprintf()およびjio_vsnprintf()でのバッファオーバーフロー（CVE-2018-12547）* IBM JDK：安全でない呼び出しを高速化するとnullチェックが行われない（CVE-2018-12549）* OpenJDK：FileChannelImplのメモリ漏えい（Libraries、8206290）（CVE-2019-2422）* libjpeg-turbo：jmemmgr.cのalloc_sarray関数でのゼロ除算（CVE-2018-11212）* Oracle JDK：8u201（Deployment）で修正されている詳細不明な脆弱性（CVE-2019-2449）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートホストにインストールされている IBM Java のバージョンは、7.0 < 7.0.10.40 / 7.1 < 7.1.4.40 / 8.0 < 8.0.5.30 より前です。したがって、Oracle の 2019 年 1 月 15 日の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - libjpeg 9a および 9d で問題が発見されました。jmemmgr.c の alloc_sarray 関数により、リモート攻撃者が細工されたファイルを介してサービス拒否 (ゼロ除算エラー) を引き起こす可能性があります。(CVE-2018-11212)

  - Oracle Java SE の Java SE コンポーネントの脆弱性（サブコンポーネント: Libraries)。サポートされているバージョンで影響を受けるのは、Java SE: 7u201、8u192 および 11.0.1。Java SE Embedded :  8u191。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE がアクセスできるサブセットのデータが、不正に読み取りアクセスされる可能性があります。注：この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについては Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2019-2422)

  - Oracle Java SE の Java SE コンポーネントの脆弱性（サブコンポーネント: ネットワーキング)。サポートされているバージョンで影響を受けるのは、Java SE: 7u201、8u192 および 11.0.1。Java SE Embedded :  8u191。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE がアクセスできるサブセットのデータが、不正に読み取りアクセスされる可能性があります。注：この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについては Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2019-2426)

  - Oracle Java SE の Java SE コンポーネントの脆弱性（サブコンポーネント: Deployment)。サポートされているバージョンで影響を受けるのは、Java SE: 8u192。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注：この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについては Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2019-2449)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、7 Update 211、8 Update 201、11 Update 2より前です。したがって、次のコンポーネントに関連する複数の脆弱性の影響を受けます。- libjpeg 9aの問題であるdivide-by-zeroエラーにより、リモートの攻撃者が細工されたファイルを介してサービス拒否状態を引き起こす可能性があります。（CVE-2018-11212）- NetworkingサブコンポーネントにあるOracle Java SEの詳細不明な脆弱性により、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2019-2426）- DeploymentサブコンポーネントにあるOracle Java SEの詳細不明な脆弱性により、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2019-2449）- LibrariesサブコンポーネントにあるOracle Java SEの詳細不明な脆弱性により、複数のプロトコル経由でネットワークにアクセスできる認証されていないリモートの攻撃者が、Java SEを侵害する可能性があります。（CVE-2019-2422）Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of Oracle (formerly Sun) Java SE or Java for Business installed on the remote host is prior to 7 Update 211, 8 Update 201, 11 Update 2. It is, therefore, affected by multiple vulnerabilities related to the following components :

  - An issue in libjpeg 9a, a divide-by-zero error, could allow remote attackers to cause a denial of service condition via a crafted file. (CVE-2018-11212)

  - An unspecified vulnerability in Oracle Java SE in the Networking subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2019-2426)

  - An unspecified vulnerability in Oracle Java SE in the Deployment subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2019-2449)

  - An unspecified vulnerability in Oracle Java SE in the Libraries subcomponent could allow an unauthenticated, remote attacker with network access via multiple protocols to compromise Java SE.
    (CVE-2019-2422)

Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
123146	RHEL 6：java-1.8.0-ibm（RHSA-2019:0640）	Nessus	Red Hat Local Security Checks	2019/3/27	2024/4/27	critical
122889	SUSE SLES12セキュリティ更新プログラム：java-1_8_0-ibm (SUSE-SU-2019:0617-1)	Nessus	SuSE Local Security Checks	2019/3/18	2021/1/13	high
128520	SUSE SLED15 / SLES15セキュリティ更新プログラム：java-1_8_0-ibm（SUSE-SU-2019:2291-1）	Nessus	SuSE Local Security Checks	2019/9/5	2024/4/29	critical
125239	RHEL 8：java-1.8.0-ibm（RHSA-2019:1238）	Nessus	Red Hat Local Security Checks	2019/5/17	2024/4/27	critical
122659	RHEL 6：java-1.8.0-ibm（RHSA-2019:0469）	Nessus	Red Hat Local Security Checks	2019/3/7	2022/1/28	critical
122711	RHEL 7：java-1.8.0-ibm（RHSA-2019:0472）	Nessus	Red Hat Local Security Checks	2019/3/8	2024/4/28	critical
128872	SUSE SLES12セキュリティ更新プログラム：java-1_8_0-ibm（SUSE-SU-2019:2371-1）	Nessus	SuSE Local Security Checks	2019/9/16	2024/4/25	critical
160349	IBM Java 7.0 < 7.0.10.40 / 7.1 < 7.1.4.40 / 8.0 < 8.0.5.30 の複数の脆弱性	Nessus	Misc.	2022/4/29	2023/10/31	low
121230	Oracle Java SE 1.7.x < 1.7.0_211/1.8.x < 1.8.0_201/1.11.x < 1.11.0_2の複数の脆弱性（2019年1月CPU）（Unix）	Nessus	Misc.	2019/1/17	2022/4/11	low
121231	Oracle Java SE 1.7.x < 1.7.0_211/1.8.x < 1.8.0_201/1.11.x < 1.11.0_2の複数の脆弱性（2019年1月CPU）	Nessus	Windows	2019/1/17	2022/4/11	low
122808	SUSE SLES15セキュリティ更新プログラム：java-1_8_0-ibm (SUSE-SU-2019:0585-1)	Nessus	SuSE Local Security Checks	2019/3/13	2020/2/5	high

検出

プラグインの検索

critical

high

critical

critical

critical

critical

critical

low

low

low

high