a. Java JRE セキュリティ更新

JRE のバージョン 1.5.0_22 への更新は、以前の JRE リリースに存在する複数のセキュリティ問題に対処しています。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_18 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-1093、CVE-2009-1094、CVE-2009-1095、CVE-2009-1096、CVE-2009-1097、CVE-2009-1098、CVE-2009-1099、CVE-2009-1100、CVE-2009-1101、CVE-2009-1102、CVE-2009-1103、CVE-2009-1104、CVE-2009-1105、CVE-2009-1106、CVE-2009-1107。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_20 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-2625、CVE-2009-2670、CVE-2009-2671、CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2676、CVE-2009-2716、CVE-2009-2718、CVE-2009-2719、CVE-2009-2720、CVE-2009-2721、CVE-2009-2722、CVE-2009-2723、CVE-2009-2724。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_22 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-3728、CVE-2009-3729、CVE-2009-3864、CVE-2009-3865、CVE-2009-3866、CVE-2009-3867、CVE-2009-3868、CVE-2009-3869、CVE-2009-3871、CVE-2009-3872、CVE-2009-3873、CVE-2009-3874、CVE-2009-3875、CVE-2009-3876、CVE-2009-3877、CVE-2009-3879、CVE-2009-3880、CVE-2009-3881、CVE-2009-3882、CVE-2009-3883、CVE-2009-3884、CVE-2009-3886、CVE-2009-3885。

リモートホストにインストールされている Sun Java Runtime Environment（JRE）は、6 Update 17 / 5.0 Update 22 / 1.4.2_24 / 1.3.1_27 より前のバージョンです。上記のバージョンは以下のセキュリティ問題の影響を受ける可能性があります。

- Java 更新機構は、英語以外のバージョンの場合、新しいバージョンが利用可能な際に JRE を更新しません。
 （269868）

- コマンド実行の脆弱性が、Java Runtime Environment 展開ツールキットに存在します。（269869）

- Java Web Start インストーラの問題が悪用されて、信頼されない Java Web Start アプリケーションが、信頼されるアプリケーションとして実行される可能性があります。（269870）

- 複数のバッファおよび整数オーバーフローの脆弱性が存在します。（270474）

- HMAC ダイジェスト検証での JRE のセキュリティ脆弱性により、認証がバイパスされる可能性があります。
 （270475）

- DER エンコード済みデータのデコードおよび HTTP ヘッダーの解析に関わる JRE の別々の 2 つの脆弱性により、リモートクライアントがサーバー上の JRE がメモリを消耗し、サービス拒否が発生する可能性があります。（270476）

- ICC_Profile.getInstance メソッドのディレクトリトラバーサルの脆弱性により、リモートの攻撃者がローカルの International Color Consortium（ICC）プロファイルファイルが存在するか判断できる可能性があります。（バグ #6631533）

- International Color Consortium（ICC）プロファイルファイルへの UNC 共有パス名へのリンクを含む BMP ファイルを介して、サービス拒否が発生する可能性があります。
 （バグ #6632445）

- 復活したクラスローダーがまだ子を持つことがあり、リモートの攻撃者が明記されないベクトルを介して、権限を取得する可能性があります（バグ #6636650）。

- Abstract Window Toolkit（AWT）がロガーに送信されうるオブジェクトを適切に制限しないため、Component、KeyboardFocusManager、および DefaultKeyboardFocusManager の実装に関係するベクトルを介して、攻撃者が機密情報を取得する可能性があります。
 （バグ #6664512）

- TrueType フォント解析機能の詳細不明な脆弱性により、サービス拒否が発生する可能性があります。（バグ #6815780）

- getConfigurations 関数から返されるクローン配列の失敗により、X11 および Win32GraphicsDevice サブシステム内に複数の詳細不明な脆弱性が発生する可能性があります。（バグ #6822057）

- TimeZone.getTimeZone メソッドをリモートの攻撃者が利用して、zoneinfo（別名 tz）ファイルの処理を介して、ローカルファイルが存在するかを判断する可能性があります。（バグ #6824265）

- Java Web Start は署名済み JAR ファイルと JNLP アプリケーションまたはアプレットの間のやり取りを適切に処理しません。（バグ #6870531）

リモートの VMware ESX ホストにセキュリティ関連のパッチがありません。したがって、Java Runtime Environment（JRE）のバンドルされているバージョンで、リモートコードの実行の脆弱性などの複数の脆弱性による影響を受けます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
45386	VMSA-2010-0002：VMware vCenter 更新リリースは、Java JRE における複数のセキュリティ問題に対処します。	Nessus	VMware ESX Local Security Checks	2010/3/31	2021/1/6	critical
64831	Sun Java JRE の複数の脆弱性（269868 / 269869 / 270476 ...）（Unix）	Nessus	Misc.	2013/2/22	2022/4/11	high
89736	VMware ESX Java Runtime Environment（JRE）の複数の脆弱性（VMSA-2010-0002）（remote check）	Nessus	VMware ESX Local Security Checks	2016/3/8	2021/1/6	critical

検出

プラグインの検索

critical

high

critical