java-1.8.0-ibmの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8がバージョン8 SR5-FP35にアップグレードされます。セキュリティ修正プログラム：* Oracle JDK：7u221および8u211で修正された詳細不明な脆弱性（2D）（CVE-2019-2697）* OpenJDK：setCurrGlyphID()へのフォントレイアウトエンジンの範囲外アクセス（2D、8219022）（CVE-2019-2698）* OpenJDK：BigDecimalからlongへの変換が遅い（Libraries、8211936）（CVE-2019-2602）* OpenJDK：RMIレジストリサーバー側のディスパッチ処理における誤ったスケルトン選択（RMI、8218453）（CVE-2019-2684）* IBM JDK：JVMクラッシュを引き起こすバイトコード配列の末尾を超えた読み取り（CVE-2019-10245）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1_7_1-ibm用のこの更新プログラムでは、以下の問題が修正されています：

Java 7.1 Service Refresh 4 Fix Pack 45に更新してください。

修正されたセキュリティ問題：

CVE-2019-10245：クラッシュを引き起こすJavaバイトコード検証機能の問題を修正しました（bsc#1134718）。

CVE-2019-2698：2Dコンポーネントの領域外アクセスの問題を修正しました（bsc#1132729）。

CVE-2019-2697：2Dコンポーネント内の欠陥を修正しました（bsc#1132734）。

CVE-2019-2602：BigDecimal実装内の欠陥を修正しました（コンポーネント：
ライブラリ）（bsc#1132728）。

CVE-2019-2684：RMIレジストリの実装で見つかった欠陥を修正しました（bsc#1132732）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

java-1_7_0-openjdk用のこの更新プログラムでは、以下の問題が修正されています：

2.6.18 - OpenJDK 7u221 (April 2019 CPU)に更新します

修正されたセキュリティ問題：

  - CVE-2019-2602：BigDecimal実装内の欠陥を修正しました（コンポーネント：ライブラリ）（bsc#1132728）。

  - CVE-2019-2684：RMIレジストリの実装内部で見つかった欠陥を修正しました（bsc#1132732）。

  - CVE-2019-2698：2Dコンポーネントの領域外アクセスの問題を修正しました（bsc#1132729）。

  - CVE-2019-2422：FileChannelImplでのメモリ漏洩を修正しました（bsc#1122293）。

  - CVE-2018-11212：jmemmgr.cのalloc_sarray関数におけるゼロ除算を修正します（bsc#1122299）。

  - CVE-2019-2426：Webサーバー接続を改善します（bsc#1134297）。

バグ修正：

  - 詳細については、パッケージの変更ログを参照してください。

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

java-1.8.0-ibmの更新プログラムが、Red Hat Satellite 5.8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8がバージョン8 SR5-FP35にアップグレードされます。セキュリティ修正プログラム：* Oracle JDK：7u221および8u211で修正された詳細不明な脆弱性（2D）（CVE-2019-2697）* OpenJDK：setCurrGlyphID()へのフォントレイアウトエンジンの範囲外アクセス（2D、8219022）（CVE-2019-2698）* OpenJDK：BigDecimalからlongへの変換が遅い（Libraries、8211936）（CVE-2019-2602）* OpenJDK：RMIレジストリサーバー側のディスパッチ処理における誤ったスケルトン選択（RMI、8218453）（CVE-2019-2684）* IBM JDK：JVMクラッシュを引き起こすバイトコード配列の末尾を超えた読み取り（CVE-2019-10245）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートホストにインストールされているOpenJDKは、7 <= 7u211 / 8 <= 8u202 / 11.0.0 <= 11.0.2 / 12.0.0 <= 12.0.0より前です。したがって、2019年4月16日のアドバイザリに記載されている複数の脆弱性の影響を受けます。

注意：Java CVEには常にOpenJDKバージョンが含まれているとは限りませんが、言及されているOpenJDKセキュリティアドバイザリのパッチバージョンを使用してTenableによって個別に確認されます。

  - Oracle Java SEのJava SEコンポーネントの脆弱性（サブコンポーネント：2D）。サポートされているバージョンで影響を受けるのは、Java SE：7u211および8u202。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。注：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0 ベーススコア 8.1（機密性、整合性、可用性の影響）CVSS Vector: （CVSS：3.0/AV：N/AC：H/PR：N/UI：N/S：U/C：H/I：H/A：H）。
    （CVE-2019-2698）

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ライブラリ）。
    サポートされているバージョンで影響を受けるのは、Java SE：7u211、8u202、11.0.2 および12; Java SE Embedded：8u201。
    容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限なしにJava SEとJava SE Embeddedをハングさせたり、頻繁にクラッシュを繰り返したりする（完全なDOS）可能性があります。注：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレットを、たとえばWebサービスを介して使用せずに、指定されたコンポーネントのAPIにデータを提供することでのみ悪用される可能性があります。CVSS 3.0ベーススコア7.5（可用性に影響）。CVSS Vector：
    （CVSS：3.0/AV：N/AC：L/PR：N/UI：N/S：U/C：N/I：N/A：H）。（CVE-2019-2602）

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：RMI）。サポートされているバージョンで影響を受けるのは、Java SE：7u211、8u202、11.0.2 および12; Java SE Embedded：8u201。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.0ベーススコア5.9（整合性への影響）CVSS Vector:
    （CVSS：3.0/AV：N/AC：H/PR：N/UI：N/S：U/C：N/I：H/A：N）。（CVE-2019-2684）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている IBM Java のバージョンは、7.0 < 7.0.10.45 / 7.1 < 7.1.4.45 / 8.0 < 8.0.5.35 より前です。したがって、Oracle の 2019 年 4 月 16 日の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ライブラリ）。
    サポートされているバージョンで影響を受けるのは、Java SE：7u211、8u202、11.0.2 および12; Java SE Embedded：8u201。
    容易に悪用可能な脆弱性を利用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embedded を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限なしにJava SEとJava SE Embeddedをハングさせたり、頻繁にクラッシュを繰り返したりする（完全なDOS）可能性があります。注: この脆弱性は、信頼できない Java Web Start アプリケーションや信頼できない Java アプレットを、たとえば Web サービスを介して使用せずに、指定されたコンポーネントの API にデータを提供することでのみ悪用される可能性があります。(CVE-2019-2602)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：RMI）。サポートされているバージョンで影響を受けるのは、Java SE：7u211、8u202、11.0.2 および12; Java SE Embedded：8u201。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Java SE、Java SE Embedded がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注：この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについては Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2019-2684)

  - Oracle Java SE の Java SE コンポーネントの脆弱性（サブコンポーネント: 2D)。サポートされているバージョンで影響を受けるのは、Java SE：7u211および8u202。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。注：この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについては Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど ) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2019-2697、CVE-2019-2698)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：RMI）。サポートされているバージョンで影響を受けるのは、Java SE：7u211、8u202、11.0.2、12；Java SE Embedded：8u201です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア5.9（整合性への影響）CVSS Vector：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N）。（CVE-2019-2684）Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ライブラリ）。サポートされているバージョンで影響を受けるのは、Java SE：7u211、8u202、11.0.2、12、Java SE Embedded：8u201です。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限なしにJava SEとJava SE Embeddedをハングさせたり、頻繁にクラッシュを繰り返したりする（完全なDOS）可能性があります。注意：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供するだけで悪用される可能性があります。CVSS 3.0ベーススコア7.5（可用性に影響）CVSS Vector：（CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）（CVE-2019-2602）Oracle Java SEのJava SEコンポーネントの脆弱性（サブコンポーネント：2D）。サポートされているバージョンで影響を受けるのは、Java SE：7u211および8u202。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア8.1（機密性、整合性、可用性への影響）CVSS Vector：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）。（CVE-2019-2698）

java-1_8_0-ibm用のこの更新プログラムでは、以下の問題が修正されています：

Java 8.0 Service Refresh 5 Fix Pack 35に更新してください。

修正されたセキュリティ問題：

CVE-2019-10245：クラッシュを引き起こすJavaバイトコード検証機能の問題を修正しました（bsc#1134718）。

CVE-2019-2698：2Dコンポーネントの領域外アクセスの問題を修正しました（bsc#1132729）。

CVE-2019-2697：2Dコンポーネント内の欠陥を修正しました（bsc#1132734）。

CVE-2019-2602：BigDecimal実装内の欠陥を修正しました（コンポーネント：
ライブラリ）（bsc#1132728）。

CVE-2019-2684：RMIレジストリの実装で見つかった欠陥を修正しました（bsc#1132732）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Oracle Java SEのJava SEコンポーネントにある脆弱性（サブコンポーネント：2D）。サポートされているバージョンで影響を受けるのは、Java SE：7u211および8u202。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア8.1（機密性、整合性、可用性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）。（CVE-2019-2697）Oracle Java SEのJava SEコンポーネントにある脆弱性（サブコンポーネント：2D）。サポートされているバージョンで影響を受けるのは、Java SE：7u211および8u202。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Java SEの乗っ取りが発生する可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア8.1（機密性、整合性、可用性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）。（CVE-2019-2698）Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：Libraries）。サポートされているバージョンで影響を受けるのは、Java SE：7u211、8u202、11.0.2、12；Java SE Embedded：8u201です。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限なしにJava SEとJava SE Embeddedをハングさせたり、頻繁にクラッシュを繰り返したりする（完全なDOS）可能性があります。注意：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供するだけで悪用される可能性があります。CVSS 3.0ベーススコア7.5（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）（CVE-2019-2602）Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：RMI）。サポートされているバージョンで影響を受けるのは、Java SE：7u211、8u202、11.0.2、12；Java SE Embedded：8u201です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア5.9（整合性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N）。（CVE-2019-2684）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
125012	RHEL 6：java-1.8.0-ibm（RHSA-2019:1163）	Nessus	Red Hat Local Security Checks	2019/5/14	2024/4/28	high
125336	SUSE SLES11セキュリティ更新プログラム：java-1_7_1-ibm (SUSE-SU-2019:14059-1)	Nessus	SuSE Local Security Checks	2019/5/22	2021/1/19	high
125698	openSUSEセキュリティ更新プログラム：java-1_7_0-openjdk (openSUSE-2019-1500)	Nessus	SuSE Local Security Checks	2019/6/4	2021/1/19	high
125756	RHEL 6：java-1.8.0-ibm（RHSA-2019:1325）	Nessus	Red Hat Local Security Checks	2019/6/7	2024/4/27	high
151214	OpenJDK 7 <= 7u211 / 8 <= 8u202 / 11.0.0 <= 11.0.2 / 12.0.0 <= 12.0.0複数の脆弱性（2019年4月16日）	Nessus	Misc.	2021/7/6	2023/8/9	high
160342	IBM Java 7.0 < 7.0.10.45 / 7.1 < 7.1.4.45 / 8.0 < 8.0.5.35 の複数の脆弱性	Nessus	Misc.	2022/4/29	2022/5/2	high
127819	Amazon Linux AMI：java-1.8.0-openjdk（ALAS-2019-1266）	Nessus	Amazon Linux Local Security Checks	2019/8/13	2024/5/6	high
126167	SUSE SLES12セキュリティ更新プログラム：java-1_8_0-ibm (SUSE-SU-2019:1644-1)	Nessus	SuSE Local Security Checks	2019/6/24	2024/5/14	high
125900	Amazon Linux 2：java-11-amazon-corretto（ALAS-2019-1228）	Nessus	Amazon Linux Local Security Checks	2019/6/14	2024/5/16	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high