java-1.7.1-ibmの更新プログラムが、Red Hat Satellite 5.6とRed Hat Satellite 5.7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン7リリース1には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 7がバージョン7R1 SR4-FP35にアップグレードされます。セキュリティ修正プログラム：* OpenJDK：不適切なフィールドアクセスチェック（ホットスポット、8199226）（CVE-2018-3169）* OpenJDK：trustURLCodebase制限の不完全な実施（JNDI、8199177）（CVE-2018-3149）* OpenJDK：署名付きJarマニフェストの署名されていない属性の不適切な処理（セキュリティ、8194534）（CVE-2018-3136）* OpenJDK：HTTPリダイレクトによる秘密ヘッダーデータの漏えい（ネットワーク、8196902）（CVE-2018-3139）* OpenJDK：TLSセッション再開時のエンドポイント識別アルゴリズムチェックの欠落（JSSE、8202613）（CVE-2018-3180）* OpenJDK：RIFF形式のリーダーでの無限ループ（Sound、8205361）（CVE-2018-3214）* libpng：pngrutil.c:png_check_chunk_length()での整数オーバーフローと結果のゼロ除算によりサービス拒否の可能性があります（CVE-2018-13785）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1.8.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：不適切なフィールドアクセスチェック（ホットスポット、8199226）（CVE-2018-3169）* OpenJDK：スクリプトエンジンへの無制限のアクセス（スクリプティング、8202936）（CVE-2018-3183）* OpenJDK：trustURLCodebase制限の不完全な実施（JNDI、8199177）（CVE-2018-3149）* OpenJDK：署名済みJarマニフェストの署名されていない属性の不正な処理（セキュリティ、8194534）（CVE-2018-3136）* OpenJDK：HTTPリダイレクトによる秘密ヘッダーデータの漏えい（ネットワーク、8196902）（CVE-2018-3139）* OpenJDK：TLSセッション再開時のエンドポイント識別アルゴリズムチェックの欠落（JSSE、8202613）（CVE-2018-3180）* OpenJDK：RIFF形式リーダーでの無限ループ（サウンド、8205361）（CVE-2018-3214）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1_7_1-ibmがJava 7.1 Service Refresh 4 Fix Pack 35に更新しました（bsc#1116574）：

消費性

  - IJ10515 AIX JAVA 7.1.3.10 HEALTH CENTER APIクラスライブラリの使用を試みた場合の一般保護違反

  - IJ10934 CVE-2018-13785

  - IJ10935 CVE-2018-3136

  - IJ10895 CVE-2018-3139

  - IJ10932 CVE-2018-3149

  - IJ10894 CVE-2018-3180

  - IJ10933 CVE-2018-3214

  - IJ09315 JAVA.TEXT.DECIMALFORMATからの浮動小数点の例外。フォーマット

  - IJ09088 TRTを特定しない製品向けのトルコのタイムゾーンに導入される新しいプロパティ

  - IJ08569 AIX PLATFORMでFILECHANNELが2GBを超える場合にJAVA.IO.IOEXCEPTIONが発生します

  - IJ10800IBM JDKÃ¢Â€Â™S CACERTの期限が切れそうなルート証明書を削除します。
    Java仮想マシン

  - IJ10931 CVE-2018-3169

  - IV91132 一部のコアパターンの仕様が、Linux JITコンパイラーのJVMに制御されません

  - IJ08205 コンパイル中のクラッシュ

  - IJ07886 NUMBERFORMAT.FORMAT()およびBIGDECIMAL.{FLOAT/DOUBLE}VALUE()ORBを使用する場合の間違った計算

  - IX90187 CLIENTREQUESTIMPL.REINVO KEがJAVA.LANG.INDEXOUTOFBOUN DSEXCEPTIONセキュリティで失敗します

  - IJ10492 「EC KEYSIZE z/OSの拡張機能

  - PH01244 IBMJCEHYBRIDを使用するGCMモード暗号化用の出力バッファが短すぎます

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートホストにインストールされている IBM Java のバージョンは、6.0 < 6.0.16.75 / 6.1 < 6.1.8.75 / 7.0 < 7.0.10.35 / 7.1 < 7.1.4.35 / 8.0 < 8.0.5.25 より前です。したがって、Oracle の 2018 年 10 月 16 日の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：セキュリティ）。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、8u182 および 11。Java SE Embedded :  8u181。
    悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注:
    この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど ) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-3136)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ネットワーキング）。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、8u182 および 11。Java SE Embedded :  8u181。
    悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded がアクセスできるデータのサブセットに対して、権限なしで読み取りアクセスされる可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど ) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-3139)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:  JNDI)。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、8u182 および 11。Java SE Embedded :  8u181。
    JRockit：R28.3.19。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのは Java SE、Java SE Embedded、JRockit ですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性への攻撃が成功すると、Java SE、Java SE Embedded、JRockit の乗っ取りが発生する可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、たとえば API にデータを提供する Web サービスを通して、指定されたコンポーネント内の API を使用することによって悪用される可能性もあります。
    (CVE-2018-3149)

  - Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：ホットスポット )。
    サポートされているバージョンで影響を受けるのは、Java SE: 7u191、8u182 および 11。Java SE Embedded :  8u181。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、Java SEおよびJava SE Embeddedの乗っ取りが発生する可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど ) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2018-3169)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:  JSSE)。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、8u182 および 11。Java SE Embedded :  8u181。
    JRockit：R28.3.19。悪用が難しい脆弱性ですが、認証されていない攻撃者がSSL/TLSを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性を悪用した攻撃が成功すると、一部のJava SE、Java SE Embedded、JRockit のアクセス可能データに対して、権限なく更新、挿入、削除する、Java SE、Java SE Embedded、JRockit のアクセス可能データのサブセットに対して権限なく読み取りアクセスする、Java SE、Java SE Embedded、JRockit の部分的サービス拒否（部分的 DOS）を権限なく引き起こすなどの可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2018-3180)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント: 
    スクリプティング）。サポートされているバージョンで影響を受けるのは、Java SE: 8u182 および 11。Java SE Embedded :  8u181。
    JRockit：R28.3.19。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性はJava SE、Java SE Embedded、JRockitにありますが、攻撃によってほかの製品にも大きな影響が出る可能性があります。この脆弱性への攻撃が成功すると、Java SE、Java SE Embedded、JRockit の乗っ取りが発生する可能性があります。注: この脆弱性が該当するのは、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された  Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティを Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2018-3183)

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント:  Sound)。
    サポートされているバージョンで影響を受けるのは、Java SE: 6u201、7u191、および 8u182。Java SE Embedded :  8u181。
    JRockit：R28.3.19。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockit の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注: この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを（Java SE 8 で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティについては Java サンドボックスに依存している  Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2018-3214)

  - libpng 1.6.34 では、png_check_chunk_length 関数 (pngrutil.c) の row_factor の誤った計算により、細工された PNG ファイルの処理中に整数オーバーフローおよびゼロ除算がトリガーされ、サービス拒否が発生する可能性があります。(CVE-2018-13785)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119443	RHEL 6：java-1.7.1-ibm（RHSA-2018:3779）	Nessus	Red Hat Local Security Checks	2018/12/6	2024/4/27	high
118187	RHEL 6：java-1.8.0-openjdk（RHSA-2018:2943）	Nessus	Red Hat Local Security Checks	2018/10/18	2024/4/27	critical
119285	SUSE SLES12セキュリティ更新プログラム：java-1_7_1-ibm（SUSE-SU-2018:3933-1）	Nessus	SuSE Local Security Checks	2018/11/29	2022/5/31	high
160371	IBM Java 6.0 < 6.0.16.75 / 6.1 < 6.1.8.75 / 7.0 < 7.0.10.35 / 7.1 < 7.1.4.35 / 8.0 < 8.0.5.25 の複数の脆弱性	Nessus	Misc.	2022/4/29	2022/4/29	critical

検出

プラグインの検索

high

critical

high

critical