リモートホストにインストールされているOracle（以前のSun）Java SEまたはJava for Businessのバージョンは、7 Update 251より前、8 Update 241、11 Update 6、または13 Update 2です。したがって、複数の脆弱性の影響を受けます。- Oracle Java SEおよびJava SE Embeddedは、「複数の」プロトコルにわたって深刻なゼロ除算の影響を受けます。この問題は「SQLite」コンポーネントに影響します。（CVE-2019-16168）- Oracle Java SEおよびJava SE Embeddedは書式文字列の脆弱性の影響を受け、初期化されていないスタックデータを「複数の」プロトコルにわたって読み取る可能性があります。この問題は「libxst」コンポーネントに影響します。（CVE-2019-13117、CVE-2019-13118）- Oracle Java SEおよびJava SE Embeddedはリモートセキュリティの脆弱性の影響を受けます。認証されていないリモートの攻撃者が、「Kerberos」プロトコルにわたってこれを悪用する可能性があります。この問題は「セキュリティ」コンポーネントに影響します。（CVE-2020-2601、CVE-2020-2590）- Oracle Java SE/Java SE Embeddedはリモートセキュリティの脆弱性の影響を受けます。認証されていないリモートの攻撃者が、複数のプロトコルにわたってこれを悪用する可能性があります。この問題は「シリアル化」コンポーネントに影響します。（CVE-2020-2604、CVE-2020-2583）- Oracle Java SE/Java SE Embeddedはリモートセキュリティの脆弱性の影響を受けます。認証されていないリモートの攻撃者が、複数のプロトコルにわたってこれを悪用する可能性があります。この問題は「ネットワーキング」コンポーネントに影響します。（CVE-2020-2593、CVE-2020-2659）- Oracle Java SEはリモートセキュリティの脆弱性の影響を受けます。認証されていないリモートの攻撃者が、複数のプロトコルにわたってこれを悪用する可能性があります。この問題は「ライブラリ」コンポーネントに影響します。（CVE-2020-2654）- Oracle Java SEは複数セキュリティの脆弱性の影響を受けます。認証されていないリモートの攻撃者が、複数のプロトコルにわたってこれを悪用する可能性があります。この問題は「JavaFX」コンポーネントに影響します。（CVE-2020-2585）- Oracle Java SEは複数セキュリティの脆弱性の影響を受けます。認証されていないリモートの攻撃者が、「HTTPS」プロトコルにわたってこれを悪用する可能性があります。この問題は「JSSE」コンポーネントに影響します。（CVE-2020-2655）注意：Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性（コンポーネント：セキュリティ）。サポートされているバージョンで影響を受けるのは、Java SE：7u241、8u231、11.0.5、13.0.1、Java SE Embedded：8u231です。悪用が難しい脆弱性ですが、認証されていない攻撃者がKerberosを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedがアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.0ベーススコア3.7（整合性への影響）CVSS Vector：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N）。（CVE-2020-2590）libxslt 1.1.33のnumbers.cでは、xsl:number命令のグループ化文字を保持するタイプが狭すぎるため、無効な文字/長さの組み合わせがxsltNumberFormatDecimalに渡され、初期化されていないスタックデータが読み取られる可能性がありました。（CVE-2019-13118）Oracle GraalVMのOracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：Java）。サポートされているバージョンで影響を受けるのは19.3.0.2です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle GraalVM Enterprise Editionの乗っ取りが発生する可能性があります。注：19.3以降のGraalVM Enterpriseには、Java SE 8とJava SE 11の両方が含まれています。CVSS 3.0ベーススコア8.1（機密性、整合性、可用性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）。（CVE-2020-2604）Oracle Java SEのJava SE製品の脆弱性（コンポーネント：JavaFX）。サポートされているバージョンで影響を受けるのは、Java SE：8u231です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやJava SEがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.0ベーススコア5.9（整合性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N）。（CVE-2020-2585）Oracle Java SEのJava SE製品の脆弱性（コンポーネント：ライブラリ）。サポートされているバージョンで影響を受けるのは、Java SE：7u241、8u231、11.0.5、13.0.1です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SEの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレット（Webサービスなど）を使用しなくても、特定のコンポーネントのAPIにデータを提供するだけで悪用される可能性があります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）（CVE-2020-2654）Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性（コンポーネント：セキュリティ）。サポートされているバージョンで影響を受けるのは、Java SE：7u241、8u231、11.0.5、13.0.1、Java SE Embedded：8u231です。悪用が難しい脆弱性ですが、認証されていない攻撃者がKerberosを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性はJava SE、Java SE Embeddedにありますが、攻撃によってほかの製品にも大きな影響が出る可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Java SE Embeddedがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.0ベーススコア6.8（機密性に影響）。CVSSベクトル（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N）。（CVE-2020-2601）Oracle Java SEのJava SE製品の脆弱性（コンポーネント：JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：11.0.5および13.0.1です。悪用が難しい脆弱性ですが、認証されていない攻撃者がHTTPSを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なしでJava SEがアクセスできる一部のデータにアクセスして更新、挿入、削除されたり、さらにJava SEがアクセスできるデータのサブセットに権限なしでアクセスされ読み取られたりする可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.0ベーススコア4.8（機密性と整合性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N）。（CVE-2020-2655）3.29.0までのSQLiteにおいて、sqlite_stat1 szフィールドの検証が行われない（別名：クエリプランナーの深刻なゼロ除算）ため、sqlite3.cのwhereLoopAddBtreeIndexがブラウザーやその他のアプリケーションをクラッシュさせる可能性があります。（CVE-2019-16168）Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性（コンポーネント：ネットワーキング）。サポートされているバージョンで影響を受けるのは、Java SE：7u241および8u231、Java SE Embedded：8u231です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）（CVE-2020-2659）libxslt 1.1.33のnumbers.cでは、特定のフォーマット文字列を含むxsl:numberにより、xsltNumberFormatInsertNumbersで初期化されない読み取りが発生する可能性があります。このため、攻撃者がスタック上のバイトに文字A、a、I、i、0、またはその他の文字が含まれているかどうかを判別する可能性があります。（CVE-2019-13117）Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性（コンポーネント：シリアル化）。サポートされているバージョンで影響を受けるのは、Java SE：7u241、8u231、11.0.5、13.0.1、Java SE Embedded：8u231です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）（CVE-2020-2583）Oracle Java SEのJava SE、Java SE Embedded製品の脆弱性（コンポーネント：ネットワーキング）。サポートされているバージョンで影響を受けるのは、Java SE：7u241、8u231、11.0.5、13.0.1、Java SE Embedded：8u231です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedがアクセスできる一部のデータが権限なしで更新、挿入または削除され、Java SE、Java SE Embeddedがアクセスできるデータのサブセットへの権限のない読み取りアクセスが可能になります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについてはJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.0ベーススコア4.8（機密性と整合性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N）。（CVE-2020-2593）

The version of Oracle (formerly Sun) Java SE or Java for Business installed on the remote host is prior to 7 Update 251, 8 Update 241, 11 Update 6, or 13 Update 2. It is, therefore, affected by multiple vulnerabilities:

  - Oracle Java SE and Java SE Embedded are prone to a severe division by zero, over 'Multiple' protocol.
    This issue affects the 'SQLite' component.(CVE-2019-16168)

  - Oracle Java SE and Java SE Embedded are prone to format string vulnerability, leading to a read uninitialized stack data over 'Multiple' protocol. この問題は「libxst」コンポーネントに影響します。
    (CVE-2019-13117, CVE-2019-13118)

  - Oracle Java SE and Java SE Embedded are prone to a remote security vulnerability. 認証されていないリモートの攻撃者が、「Kerberos」プロトコルにわたってこれを悪用する可能性があります。この問題は「セキュリティ」コンポーネントに影響します。
    (CVE-2020-2601, CVE-2020-2590)

  - Oracle Java SE/Java SE Embedded are prone to a remote security vulnerability. 認証されていないリモートの攻撃者が、複数のプロトコルにわたってこれを悪用する可能性があります。この問題は「シリアル化」コンポーネントに影響します。
    (CVE-2020-2604, CVE-2020-2583)

  - Oracle Java SE/Java SE Embedded are prone to a remote security vulnerability. 認証されていないリモートの攻撃者が、複数のプロトコルにわたってこれを悪用する可能性があります。この問題は「ネットワーキング」コンポーネントに影響します。
    (CVE-2020-2593, CVE-2020-2659)

  - Oracle Java SE are prone to a remote security vulnerability. 認証されていないリモートの攻撃者が、複数のプロトコルにわたってこれを悪用する可能性があります。This issue affects the 'Libraries' component. (CVE-2020-2654)

  - Oracle Java SE are prone to a multiple security vulnerability. 認証されていないリモートの攻撃者が、複数のプロトコルにわたってこれを悪用する可能性があります。This issue affects the 'JavaFX' component. (CVE-2020-2585)

  - Oracle Java SE are prone to a multiple security vulnerability. 認証されていないリモートの攻撃者が、「HTTPS」プロトコルにわたってこれを悪用する可能性があります。この問題は「JSSE」コンポーネントに影響します。（CVE-2020-2655）

Nessusはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Amazon Corretto のバージョンは、8 < 8.242.07.1より前です。したがって、corretto-8-2020-Jan-14 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - OpenJFX (libxslt) (CVE-2019-13117, CVE-2019-13118)

  - OpenJFX (SQLite) (CVE-2019-16168)

  - Serialization (CVE-2020-2583, CVE-2020-2604)

  - OpenJFX (CVE-2020-2585)

  - Security (CVE-2020-2590, CVE-2020-2601)

  - Networking (CVE-2020-2593, CVE-2020-2659)

  - Libraries (CVE-2020-2654)

  - JSSE (CVE-2020-2655)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
132960	Oracle Java SE 1.7.0_251/1.8.0_241/1.11.0_6/1.13.0_2の複数の脆弱性（2020年1月CPU）（Unix）	Nessus	Misc.	2020/1/16	2022/10/21	high
133096	Amazon Linux 2：java-11-amazon-corretto（ALAS-2020-1387）	Nessus	Amazon Linux Local Security Checks	2020/1/21	2020/1/24	high
132992	Oracle Java SE 1.7.0_251/1.8.0_241/1.11.0_6/1.13.0_2の複数の脆弱性（2020年1月のCPU）	Nessus	Windows	2020/1/16	2022/10/21	high
159402	Amazon Corretto Java 8.x< 8.242.07.1複数の脆弱性	Nessus	Misc.	2022/4/1	2023/11/3	high

検出

プラグインの検索

high

high

high

high