リモートホストにインストールされている Java SDK のバージョンが、次の脆弱性による影響を受けます：

- POODLE として知られている中間者（MitM）情報漏洩の脆弱性。この脆弱性の原因は、暗号ブロック連鎖（CBC）モードでブロック暗号を使用して暗号化されたメッセージの復号を行う際の、SSL 3.0 のパディングバイトの処理方法によるものです。新たに作成した SSL 3.0 接続を通じて被害を受けるアプリケーションに同じデータを繰り返し送信させることができる場合、MitM 攻撃者は、暗号テキスト内の選択したバイトを、わずか 256 回の試行で復号できます。(CVE-2014-3566)

- OpenJDK の 2D コンポーネント内のフォント構文解析コードに、情報漏洩の欠陥が存在します。特別に細工されたフォントファイルにより境界検査の欠陥が悪用され、信頼できない Java アプレットまたはアプリケーションが、Java 仮想マシンメモリの部分を漏洩する可能性があります。
 （CVE-2014-6585、 CVE-2014-6591）

- OpenJDK の Libraries コンポーネントにおける MulticastSocket 実装に、NULL ポインターデリファレンスの欠陥が存在します。信頼できない Java アプレットまたはアプリケーションがこの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。(CVE-2014-6587)

- OpenJDK の JSSE コンポーネントにおける SSL/TLS 実装が、SSL/TLS 接続のハンドシェイク中に ChangeCipherSpec が受信されたかどうかを適切にチェックしません。MitM 攻撃者がこの欠陥を利用して、暗号化を有効にせずに接続を強制的に確立させる可能性があります。(CVE-2014-6593)

- 詳細不明の権限昇格の脆弱性が、IBM Java 仮想マシンに存在します。(CVE-2014-8891)

- 詳細不明の情報漏洩の脆弱性が、Oracle Java SE の Libraries コンポーネントに存在します。
 (CVE-2015-0400)

- 詳細不明の情報漏洩の脆弱性が、Oracle Java SE の Deployment コンポーネントに存在します。
 (CVE-2015-0403)

- 詳細不明のサービス拒否と情報漏洩の脆弱性が、Oracle Java SE の Deployment コンポーネントに存在します。(CVE-2015-0406)

- OpenJDK の Swing コンポーネントに、情報漏洩の脆弱性が存在します。信頼できない Java アプレットまたはアプリケーションがこの欠陥を利用して、特定の Java サンドボックスの制限をバイパスする可能性があります。(CVE-2015-0407)

- 複数の不適切な権限チェックの脆弱性が、OpenJDK の JAX-WS、Libraries、および RMI コンポーネントに存在します。
 信頼できない Java アプレットまたはアプリケーションがこれらの欠陥を利用して、Java サンドボックスの制限をバイパスする可能性があります。
 （CVE-2015-0412、 CVE-2014-6549、CVE-2015-0408）

- 負の長さの値を処理する際に、OpenJDK の Security コンポーネント内の DER（Distinguished Encoding Rules）デコーダーに、サービス拒否の脆弱性が存在します。特別に細工された DER でエンコードされた入力により、デコードされた場合に Java アプリケーションが無限ループに陥る可能性があります。(CVE-2015-0410)

リモート Redhat Enterprise Linux 5 / 6 ホストに、RHSA-2015:0136 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - ICU: OOB 読み取りのフォント解析 (OpenJDK 2D、8055489) (CVE-2014-6585)

  - ICU: OOB 読み取りのフォント解析 (OpenJDK 2D、8056276) (CVE-2014-6591)

  - OpenJDK: SSL/TLS ハンドシェイク中の ChangeCipherSpec の不適切な追跡 (JSSE、8057555) (CVE-2014-6593)

  - IBM JDK: 詳細不明な完全な Java サンドボックスのバイパスが 2015 年 2 月の更新で修正されました (CVE-2014-8891)

  - IBM JDK: 詳細不明な部分的な Java サンドボックスのバイパスが 2015 年 2 月の更新で修正されました (CVE-2014-8892)

  - OpenJDK: ガベージコレクターでの phantom 参照処理の問題 (ホットスポット、8047125) (CVE-2015-0395)

  - OpenJDK: ファイルチューザーを介したディレクトリ情報漏洩 (Swing、8055304) (CVE-2015-0407)

  - OpenJDK: RMI トランスポートでの不適切なコンテキストクラスローダーの使用 (RMI、8055309) (CVE-2015-0408)

  - OpenJDK: DER デコーダーの無限ループ (セキュリティ、8059485) (CVE-2015-0410)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 5 / 6 ホストに、RHSA-2015:0264 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - IBM JDK: 共有クラスキャッシュによる権限昇格 (CVE-2014-3065)

  - IBM JDK: Java CMS キーストアプロバイダーにより、ブルートフォース秘密鍵リカバリーが行われる可能性があります (CVE-2014-3068)

  - IBM JDK: 権限昇格の問題 (CVE-2014-3086)

  - SSL/TLS: Downgraded Legacy Encryption 攻撃におけるパディングオラクル (CVE-2014-3566)

  - OpenJDK: SubjectDelegator 保護が不十分 (JMX、8029755) (CVE-2014-4209)

  - OpenJDK: プロキシメソッドに渡されるクローンインターフェース (ライブラリ、8035009) (CVE-2014-4218)

  - OpenJDK: バイトコード検証が、this() および super() への ctor 呼び出しを妨げません (ホットスポット、8035119) (CVE-2014-4219)

  - Oracle JDK: 6u81、7u65、および 8u11 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2014-4227、CVE-2014-4265)

  - OpenJDK: RSA ブラインディングの問題 (セキュリティ、8031346) (CVE-2014-4244)

  - OpenJDK: パブリックでないコンストラクターによるサービスのインスタンス化を防止します (セキュリティ、8035004) (CVE-2014-4252)

  - OpenJDK: AtomicReferenceFieldUpdater にプリミティブな型チェックがありません (ライブラリ、8039520) (CVE-2014-4262)

  - OpenJDK: 不十分なディフィー・ヘルマン公開鍵の検証 (セキュリティ、8037162) (CVE-2014-4263)

  - Oracle JDK: 6u85、7u71、および 8u25 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2014-4288、CVE-2014-6458、CVE-2014-6492、CVE-2014-6493、CVE-2014-6503、CVE-2014-6515、CVE-2014-6532)

  - OpenJDK: TLS/SSL 接続に対するトリプルハンドシェイク攻撃 (JSSE、8037066) (CVE-2014-6457)

  - OpenJDK: ResourceBundle のロード時の不適切な CL の LogRecord 使用 (Libraries、8042797) (CVE-2014-6502)

  - OpenJDK: システムロガーにリソースバンドルを設定するときの不十分なアクセス許可チェック (Libraries、8041564) (CVE-2014-6506)

  - ICU: レイアウトエンジン ContextualSubstitution の境界検査がありません (JDK 2D、8041540) (CVE-2014-6511)

  - OpenJDK: DatagramSocket 接続ソケットのソースチェックの欠落 (ライブラリ、8039509) (CVE-2014-6512)

  - OpenJDK: 不十分な ResourceBundle 名のチェック (ライブラリ、8044274) (CVE-2014-6531)

  - OpenJDK: CipherInputStream の不適切な例外処理 (セキュリティ、8037846) (CVE-2014-6558)

  - ICU: OOB 読み取りのフォント解析 (OpenJDK 2D、8055489) (CVE-2014-6585)

  - OpenJDK: MulticastSocket NULL ポインターデリファレンス (ライブラリ、8056264) (CVE-2014-6587)

  - ICU: OOB 読み取りのフォント解析 (OpenJDK 2D、8056276) (CVE-2014-6591)

  - OpenJDK: SSL/TLS ハンドシェイク中の ChangeCipherSpec の不適切な追跡 (JSSE、8057555) (CVE-2014-6593)

  - IBM JDK: 詳細不明な完全な Java サンドボックスのバイパスが 2015 年 2 月の更新で修正されました (CVE-2014-8891)

  - IBM JDK: 詳細不明な部分的な Java サンドボックスのバイパスが 2015 年 2 月の更新で修正されました (CVE-2014-8892)

  - OpenJDK: ガベージコレクターでの phantom 参照処理の問題 (ホットスポット、8047125) (CVE-2015-0395)

  - Oracle JDK: 6u91、7u75、および 8u31 (デプロイメント) で修正された詳細不明な脆弱性 (CVE-2015-0403、CVE-2015-0406)

  - OpenJDK: ファイルチューザーを介したディレクトリ情報漏洩 (Swing、8055304) (CVE-2015-0407)

  - OpenJDK: RMI トランスポートでの不適切なコンテキストクラスローダーの使用 (RMI、8055309) (CVE-2015-0408)

  - OpenJDK: DER デコーダーの無限ループ (セキュリティ、8059485) (CVE-2015-0410)

  - OpenJDK: 不十分なコード権限チェック (JAX-WS、8054367) (CVE-2015-0412)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
81491	AIX Java アドバイザリ：java_feb2015_advisory.asc（POODLE）	Nessus	AIX Local Security Checks	2015/2/24	2023/6/26	critical
81204	RHEL 5 / 6 : java-1.5.0-ibm (RHSA-2015:0136)	Nessus	Red Hat Local Security Checks	2015/2/6	2024/4/24	critical
81505	RHEL 5 / 6 : Red Hat Satellite IBM Java Runtime (RHSA-2015:0264)	Nessus	Red Hat Local Security Checks	2015/2/25	2024/4/24	low

検出

プラグインの検索

critical

critical

low