JavaSE 6: 更新71パッチ（JDK 6u71に相当）。
Sun によるこのパッチの最終更新日：2014年1月14日

JavaSE 6: 更新75パッチ（JDK 6u75に相当）。
Sun によるこのパッチの最終更新日：2014年4月14日

複数のセキュリティ問題を修正した更新済み java-1.6.0-ibm パッケージが Red Hat Network Satellite Server 5.3 で利用可能になりました。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

この更新では、Red Hat Network Satellite Server 5.3 の一部として出荷される IBM Java Runtime Environment におけるいくつかのセキュリティ上の脆弱性を修正します。通常の運用環境では、ランタイムが信頼できないアプレットで使用されることはないため、このようなセキュリティリスクは高くありません。

複数の欠陥が IBM Java 2 Runtime 環境で修正されました。
（CVE-2009-0217、CVE-2009-1093、CVE-2009-1094、CVE-2009-1095、CVE-2009-1096、CVE-2009-1097、CVE-2009-1098、CVE-2009-1099、CVE-2009-1100、CVE-2009-1101、CVE-2009-1103、CVE-2009-1104、CVE-2009-1105、CVE-2009-1106、CVE-2009-1107、CVE-2009-2625、CVE-2009-2670、CVE-2009-2671、CVE-2009-2672、CVE-2009-2673、CVE-2009-2674、CVE-2009-2675、CVE-2009-2676、CVE-2009-3865、CVE-2009-3866、CVE-2009-3867、CVE-2009-3868、CVE-2009-3869、CVE-2009-3871、CVE-2009-3872、CVE-2009-3873、CVE-2009-3874、CVE-2009-3875、CVE-2009-3876、CVE-2009-3877）

Red Hat Network Satellite Server 5.3 のユーザーは、これらの問題を解決する更新済みの java-1.6.0-ibm パッケージにアップグレードすることが推奨されます。
この更新を有効にするために、稼働している全ての IBM Java インスタンスとともに、Red Hat Network Satellite Server を再起動する必要があります（「/usr/sbin/rhn-satellite restart」）。

Red Hat セキュリティアドバイザリ 2009:1201 から：

複数のセキュリティ問題および 1 つのバグを解決する更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

JRE の XML デジタル署名の実装が HMAC ベースの XML 署名を処理する方法に欠陥が見つかりました。攻撃者がこの欠陥を利用して、細工された署名を作成し、認証をバイパスしたり、ユーザー、アプレットまたはアプリケーションを欺いて信頼できないコンテンツを承認させるようにしたりする可能性があります。(CVE-2009-0217)

様々な情報漏洩の可能性のある課題がさまざまなミュート可能な静的変数で見つかりました。これらは、信頼できないスクリプトコードを実行するアプリケーションシナリオで悪用される可能性があります。(CVE-2009-2475)

OpenType チェックをバイパスできることが分かりました。これにより、不正なアプリケーションが、ファイナライザの復活により権限のあるオブジェクトへの参照を取得することで、アクセス制限をバイパスする可能性があります。
(CVE-2009-2476)

JRE が XML を処理する方法にサービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して細工された XML を送信し、サービス拒否を起こす可能性があります。(CVE-2009-2625)

JRE オーディオシステムに欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、制限されたシステムプロパティへの読み取りアクセスを取得する可能性があります。(CVE-2009-2670)

JRE プロキシ実装に 2 つの欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこれらの欠陥を利用して、アプレットおよびアプリケーションを実行するユーザーのユーザー名を発見したり、Web ブラウザのクッキーを取得してそれらをセッションハイジャック攻撃に使用したりする可能性があります。（CVE-2009-2671、 CVE-2009-2672）

プロキシメカニズム実装に新たな欠陥が見つかりました。
この欠陥により、信頼できないアプレットまたはアプリケーションがアクセス制限をバイパスし、認証されていないソケットまたは URL 接続を使用して元のホスト以外のホストに接続できました。(CVE-2009-2673)

JRE が JPEG イメージを処理する方法に整数オーバーフローの欠陥が見つかりました。信頼できないアプリケーションがこの欠陥を利用してその権限を拡大し、ローカルファイルを読み書きしたり、アプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。(CVE-2009-2674)

JRE unpack200 機能に整数オーバーフローの欠陥が見つかりました。
信頼できないアプレットまたはアプリケーションがその権限を拡大して、ローカルファイルを読み書きしたり、アプレットまたはアプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。(CVE-2009-2675)

JDK13Services が特定のオブジェクトタイプに不要な権限を与えていることが分かりました。信頼できないアプレットまたはアプリケーションがこれを悪用して、本来は制限された機能を使用する可能性があります。(CVE-2009-2689)

Java のプライベート変数処理方法に情報漏洩の欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、本来はプライベートな変数から情報を取得する可能性があります。(CVE-2009-2690)

注：このアドバイザリー、CVE-2009-2475、CVE-2009-2670、CVE-2009-2671、 CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2689、および CVE-2009-2690 にあるアプレットに関わる欠陥は、「appletviewer」アプリケーションを呼び出すことにより、java-1.6.0-openjdk でのみ発生します。

この更新では以下のバグも修正されます。

* Red Hat Enterprise Linux に同梱されている java-1.6.0-openjdk パッケージ内の EVR は、EPEL リポジトリからの java-1.6.0-openjdk パッケージが優先（より新しいものとして表示される）するのを許可しました。EPEL の java-1.6.0-openjdk を使用するユーザーは、2008 年 10 月以降セキュリティ更新を受けなかった可能性があります。この更新により EPEL のパッケージが優先されるのを防ぐことができます。（BZ#499079）

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

複数のセキュリティ問題および 1 つのバグを解決する更新済みの java-1.6.0-openjdk パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

これらのパッケージは、OpenJDK 6 Java Runtime Environment および OpenJDK 6 ソフトウェア開発キットを提供します。Java Runtime Environment（JRE）には、Java プログラミング言語で書かれたアプリケーションを実行するために必要なソフトウェアやツールが含まれています。

JRE の XML デジタル署名の実装が HMAC ベースの XML 署名を処理する方法に欠陥が見つかりました。攻撃者がこの欠陥を利用して、細工された署名を作成し、認証をバイパスしたり、ユーザー、アプレットまたはアプリケーションを欺いて信頼できないコンテンツを承認させるようにしたりする可能性があります。（CVE-2009-0217）

様々な情報漏洩の可能性のある課題がさまざまなミュート可能な静的変数で見つかりました。これらは、信頼できないスクリプトコードを実行するアプリケーションシナリオで悪用される可能性があります。（CVE-2009-2475）

OpenType チェックをバイパスできることが分かりました。これにより、不正なアプリケーションが、ファイナライザの復活により権限のあるオブジェクトへの参照を取得することで、アクセス制限をバイパスする可能性があります。
（CVE-2009-2476）

JRE が XML を処理する方法にサービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して細工された XML を送信し、サービス拒否を起こす可能性があります。（CVE-2009-2625）

JRE オーディオシステムに欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、制限されたシステムプロパティへの読み取りアクセスを取得する可能性があります。（CVE-2009-2670）

JRE プロキシ実装に 2 つの欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこれらの欠陥を利用して、アプレットおよびアプリケーションを実行するユーザーのユーザー名を発見したり、Web ブラウザのクッキーを取得してそれらをセッションハイジャック攻撃に使用したりする可能性があります。（CVE-2009-2671、CVE-2009-2672）

プロキシメカニズム実装に新たな欠陥が見つかりました。
この欠陥により、信頼できないアプレットまたはアプリケーションがアクセス制限をバイパスし、認証されていないソケットまたは URL 接続を使用して元のホスト以外のホストに接続できました。（CVE-2009-2673）

JRE が JPEG イメージを処理する方法に整数オーバーフローの欠陥が見つかりました。信頼できないアプリケーションがこの欠陥を利用してその権限を拡大し、ローカルファイルを読み書きしたり、アプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。（CVE-2009-2674）

JRE unpack200 機能に整数オーバーフローの欠陥が見つかりました。
信頼できないアプレットまたはアプリケーションがその権限を拡大して、ローカルファイルを読み書きしたり、アプレットまたはアプリケーションを実行しているユーザーの権限を使ってローカルアプリケーションを実行したりする可能性があります。（CVE-2009-2675）

JDK13Services が特定のオブジェクトタイプに不要な権限を与えていることが分かりました。信頼できないアプレットまたはアプリケーションがこれを悪用して、本来は制限された機能を使用する可能性があります。（CVE-2009-2689）

Java のプライベート変数処理方法に情報漏洩の欠陥が見つかりました。信頼できないアプレットまたはアプリケーションがこの欠陥を利用して、本来はプライベートな変数から情報を取得する可能性があります。（CVE-2009-2690）

注：このアドバイザリー、CVE-2009-2475、CVE-2009-2670、CVE-2009-2671、 CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2689、および CVE-2009-2690 にあるアプレットに関わる欠陥は、「appletviewer」アプリケーションを呼び出すことにより、java-1.6.0-openjdk でのみ発生します。

この更新では以下のバグも修正されます。

* Red Hat Enterprise Linux に同梱されている java-1.6.0-openjdk パッケージ内の EVR は、EPEL リポジトリからの java-1.6.0-openjdk パッケージが優先（より新しいものとして表示される）するのを許可しました。EPEL の java-1.6.0-openjdk を使用するユーザーは、2008 年 10 月以降セキュリティ更新を受けなかった可能性があります。この更新により EPEL のパッケージが優先されるのを防ぐことができます。（BZ#499079）

java-1.6.0-openjdk の全ユーザーは、これらの問題を解決する、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、 OpenJDK Java の実行しているすべてのインスタンスを再起動する必要があります。

いくつかのセキュリティ問題を修正する更新済みの java-1.5.0-sun パッケージが、Red Hat Network Satellite Server 5.1 で現在利用可能です。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

この更新は、Red Hat Network Satellite Server 5.1 の一部として出荷される Sun Java Runtime Environment におけるいくつかのセキュリティ脆弱性を修正します。通常の運用環境では、ランタイムが信頼できないアプレットで使用されることはないため、このようなセキュリティリスクは高くありません。

複数の欠陥が Sun Java 5 Runtime 環境で修正されました。
（CVE-2006-2426、CVE-2008-2086、CVE-2009-1093、CVE-2009-1094、CVE-2009-1095、CVE-2009-1096、CVE-2009-1098、CVE-2009-1099、CVE-2009-1100、CVE-2009-1103、CVE-2009-1104、CVE-2009-1107、CVE-2009-2409、CVE-2009-2475、CVE-2009-2625、CVE-2009-2670、CVE-2009-2671、CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2676、CVE-2009-2689、CVE-2009-3728、CVE-2009-3873、CVE-2009-3876、CVE-2009-3877、CVE-2009-3879、CVE-2009-3880、CVE-2009-3881、CVE-2009-3882、CVE-2009-3883、CVE-2009-3884）

注：Sun Java SE Release ファミリー 5.0 はすでにサービスが終了しているため、これが java-1.5.0-sun パッケージの最後の更新です。Sun Java SE 5.0 の代替品は IBM Developer Kit for Linux の Java 2 Technology Edition で、これは Red Hat Network の Satellite 5.1 チャネルから利用可能です。

長期的なソリューションとして、Red Hat はユーザーに対して、Sun Java SE 5.0 から IBM Developer Kit for Linux の Java 2 Technology Edition に切り替えることを推奨します。手順についは、「ソリューション」セクションを参照してください。

Red Hat Network Satellite Server 5.1 のユーザーは、これらの問題を解決する更新済みの java-1.5.0-sun パッケージにアップグレードすることが推奨されます。
更新を有効にするには、 Sun Java のすべての実行しているインスタンスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
107415	Solaris 10（sparc）: 125136-71	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
107416	Solaris 10（sparc）: 125136-75	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
44029	RHEL 4/5：Satellite Server の IBM Java Runtime（RHSA-2010:0043）	Nessus	Red Hat Local Security Checks	2010/1/15	2021/1/14	critical
67905	Oracle Linux 5：java-1.6.0-openjdk（ELSA-2009-1201）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
43774	CentOS 5：java-1.6.0-openjdk（CESA-2009:1201）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	critical
53539	RHEL 4：SatelliteサーバーのSun Java Runtime（RHSA-2009 1662）	Nessus	Red Hat Local Security Checks	2011/4/23	2021/1/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical