Sun Java 6 は Update 19 に更新され、大量のセキュリティ問題が修正されました。

CVE-2009-3555 CVE-2010-0082 CVE-2010-0084 CVE-2010-0085 CVE-2010-0087 CVE-2010-0088 CVE-2010-0089 CVE-2010-0090 CVE-2010-0091 CVE-2010-0092 CVE-2010-0093 CVE-2010-0094 CVE-2010-0095 CVE-2010-0837 CVE-2010-0838 CVE-2010-0839 CVE-2010-0840 CVE-2010-0841 CVE-2010-0842 CVE-2010-0843 CVE-2010-0844 CVE-2010-0845 CVE-2010-0846 CVE-2010-0847 CVE-2010-0848 CVE-2010-0849 CVE-2010-0850

複数のセキュリティ問題を解決する更新済みの java-1.4.2-ibm パッケージが、 Red Hat Enterprise Linux 3 Extras、Red Hat Enterprise Linux 4 Extras、および Red Hat Enterprise Linux 5 Supplementary で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

IBM 1.4.2 SR13-FP5 Java リリースには、IBM Java 2 Runtime Environment および IBM Java 2 ソフトウェア開発キットが含まれています。

この更新は、IBM Java 2 Runtime Environment および IBM Java 2 ソフトウェア開発キットの複数の脆弱性を修正します。これらの脆弱性については「参照」セクションの IBM「セキュリティの警告」ページにまとめられています。（CVE-2010-0084、CVE-2010-0085、CVE-2010-0087、CVE-2010-0088、CVE-2010-0089、CVE-2010-0091、CVE-2010-0095、CVE-2010-0839、CVE-2010-0840、CVE-2010-0841、CVE-2010-0842、CVE-2010-0843、CVE-2010-0844、CVE-2010-0846、CVE-2010-0847、CVE-2010-0848、CVE-2010-0849）

java-1.4.2-ibm のユーザーはすべて、IBM 1.4.2 SR13-FP5 Java リリースが含まれる、これらの更新済みパッケージにアップグレードすることが推奨されます。更新を有効にするには、IBM Java のすべての実行中のインスタンスを再起動する必要があります。

a. vCenter Server および vCenter Update Manager は、Microsoft SQL Server 2005 Express Edition を Service Pack 3 に更新

   vCenter Server 4.1 Update 1 および vCenter Update Manager 4.1 Update 1 とともに配信される Microsoft SQL Server 2005 Express Edition（SQL Express）は、SQL Express Service Pack 2 を SQL Express Service Pack 3 にアップグレードされて、Microsoft SQL Express の以前のリリースに存在した複数のセキュリティ問題が解決されます。

   他のデータベースソリューションを使用している顧客は、これらの問題を更新する必要がありません。

   Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）により、MS SQL Express Service Pack 3 で修正されたセキュリティ問題に CVE-2008-5416、CVE-2008-0085、CVE-2008-0086、CVE-2008-0107、CVE-2008-0106 という名前が割り当てられました。

b. vCenter Apache Tomcat Management アプリケーション認証情報漏洩

   Apache Tomcat Manager アプリケーションの構成ファイルには、権限がないローカルのユーザーが読み取れるログオン認証情報が含まれています。

   vCenter 4.1 Update 1 で、Manager アプリケーションを削除することで、問題を解決できます。

   vCenter 4.1 を vCenter 4.1 Update 1 に更新した後は、構成ファイルにはログオン認証情報はありません。

   VMware は、この問題を報告してくれた Secure Networking の Claudio Criscione 氏に感謝の意を表します。

   Common Vulnerabilities and Exposures Project（cve.mitre.org）は、この問題に CVE-2010-2928 を割り当てています。

c. vCenter Server および ESX、Oracle（Sun）JRE がバージョン 1.6.0_21 に更新されます。

   Oracle（Sun）JRE はバージョン 1.6.0_21 に更新されます。これは、Oracle（Sun）JRE の以前のリリースに存在していた複数のセキュリティ問題に対処しています。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Oracle (Sun) JRE 1.6.0_19で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2009-3555、CVE-2010-0082、CVE-2010-0084、CVE-2010-0085、CVE-2010-0087、CVE-2010-0088、CVE-2010-0089、CVE-2010-0090、CVE-2010-0091、CVE-2010-0092、CVE-2010-0093、CVE-2010-0094、CVE-2010-0095、CVE-2010-0837、CVE-2010-0838、CVE-2010-0839、CVE-2010-0840、CVE-2010-0841、CVE-2010-0842、CVE-2010-0843、CVE-2010-0844、CVE-2010-0845、CVE-2010-0846、CVE-2010-0847、CVE-2010-0848、CVE-2010-0849、CVE-2010-0850。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Oracle (Sun) JRE 1.6.0_20で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2010-0886。

d. vCenter Update Manager Oracle（Sun）JRE が バージョン 1.5.0_26 に更新されました。

   Oracle（Sun）JRE はバージョン 1.5.0_26 に更新されます。これは、Oracle（Sun）JRE の以前のリリースに存在していた複数のセキュリティ問題に対処しています。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Oracle (Sun) JRE 1.5.0_26で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2010-3556、CVE-2010-3566、CVE-2010-3567、CVE-2010-3550、CVE-2010-3561、CVE-2010-3573、CVE-2010-3565、CVE-2010-3568、CVE-2010-3569、CVE-2009-3555、CVE-2010-1321、CVE-2010-3548、CVE-2010-3551、CVE-2010-3562、CVE-2010-3571、CVE-2010-3554、CVE-2010-3559、CVE-2010-3572、CVE-2010-3553、CVE-2010-3549、CVE-2010-3557、CVE-2010-3541、CVE-2010-3574。

e. vCenter Server および ESX Apache Tomcat がバージョン 6.0.28に更新されます。

   Apache Tomcat は、Apache Tomcat の以前のリリースに存在していた複数のセキュリティ問題に対処している、バージョン 6.0.28 に更新されます。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Apache Tomcat  6.0.24で修正されたセキュリティの問題に次の名前を割り当てています:CVE-2009-2693、CVE-2009-2901、CVE-2009-2902、iおよび CVE-2009-3548です。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Apache Tomcat 6.0.28で修正されたセキュリティの問題に次の名前を割り当てています:CVE-2010-2227、CVE-2010-1157。

f. vCenter Server サードパーティコンポーネント OpenSSL がバージョン 0.9.8n に更新されました。

   vCenter Server の OpenSSL ライブラリのバージョンが 0.9.8n に更新されました。

   Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、このバージョンの OpenSSL で対処した問題に、CVE-2010-0740 と CVE-2010-0433 という名前を割り当てています。

g. ESXサードパーティコンポーネントOpenSSLがバージョン0.9.8pに更新されました。

   ESX OpenSSL ライブラリのバージョンが 0.9.8p に更新されました。

   Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この更新で対処した問題に、CVE-2010-3864 と CVE-2010-2939 という名前を割り当てています。

h. ESXiサードパーティコンポーネントcURLが更新されました。

   ESXi の cURL ライブラリのバージョンが更新されました。

   Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）により、この更新で対処した問題に名前 CVE-2010-0734 が割り当てられています。

i. ESXサードパーティコンポーネントpam_krb5が更新されました。

   pam_krb5 ライブラリのバージョンが更新されました。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、この更新で対処した問題に、CVE-2008-3825 と CVE-2009-1384 という名前を割り当てています。

j. サービスコンソールのカーネルに対する ESX サードパーティ更新

   サービスコンソールのカーネルが更新されて、カーネルバージョン 2.6.18-194.11.1 が含まれています。

   Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この更新で対処した問題に、次の名前を割り当てています：CVE-2010-1084、CVE-2010-2066、CVE-2010-2070、CVE-2010-2226、CVE-2010-2248、CVE-2010-2521、CVE-2010-2524、CVE-2010-0008、CVE-2010-0415、CVE-2010-0437、CVE-2009-4308、CVE-2010-0003、CVE-2010-0007、CVE-2010-0307、CVE-2010-1086、CVE-2010-0410、CVE-2010-0730、CVE-2010-1085、CVE-2010-0291、CVE-2010-0622、CVE-2010-1087、CVE-2010-1173、CVE-2010-1437、CVE-2010-1088、CVE-2010-1187、CVE-2010-1436、CVE-2010-1641、CVE-2010-3081。

   注意：
   この更新は、 CVE-2010-3081で特定されている、64ビット互換モードでのスタックポインターのアンダーフローの問題も解決します。この問題に対するパッチは、ESX 4.1 Update 1 より前のリリースに対する ESX 4.1 パッチ、および以前の ESX 4.0 パッチのリリースで適用されます。
   - この更新は、ESX 4.0 の CVE-2010-2240 も解決します。

The remote Mac OS X host is running a version of Java for Mac OS X 10.5 that is missing Update 7.

The remote version of this software contains several security vulnerabilities, including some that may allow untrusted Java applets to obtain elevated privileges and lead to execution of arbitrary code with the privileges of the current user.

The remote Mac OS X host is running a version of Java for Mac OS X 10.6 that is missing Update 2.

The remote version of this software contains several security vulnerabilities, including some that may allow untrusted Java applets to obtain elevated privileges and lead to execution of arbitrary code with the privileges of the current user.

This update brings IBM Java 1.4.2 to SR13 FP5, fixing various bugs and security issues :

  - Unspecified vulnerability in the Java Runtime     Environment component in Oracle Java SE and Java for     Business 6 Update 18, 5.0 Update 23, and 1.4.2_25 allows     remote attackers to affect confidentiality via unknown     vectors. (CVE-2010-0084)

  - Unspecified vulnerability in the Java Runtime     Environment component in Oracle Java SE and Java for     Business 6 Update 18, 5.0 Update 23, 1.4.225, and     1.3.127 allows remote attackers to affect     confidentiality, integrity, and availability via unknown     vectors. (CVE-2010-0085)

  - Unspecified vulnerability in the Java Web Start, Java     Plug-in component in Oracle Java SE and Java for     Business 6 Update 18, 5.0 Update 23, 1.4.225, and     1.3.127 allows remote attackers to affect     confidentiality, integrity, and availability via unknown     vectors. (CVE-2010-0087)

  - Unspecified vulnerability in the Java Runtime     Environment component in Oracle Java SE and Java for     Business 6 Update 18, 5.0 Update 23, 1.4.225, and     1.3.127 allows remote attackers to affect     confidentiality, integrity, and availability via unknown     vectors. (CVE-2010-0088)

  - Unspecified vulnerability in the Java Web Start, Java     Plug-in component in Oracle Java SE and Java for     Business 6 Update 18, 5.0 Update 23, and 1.4.2_25 allows     remote attackers to affect availability via unknown     vectors. (CVE-2010-0089)

  - Unspecified vulnerability in the Java Runtime     Environment component in Oracle Java SE and Java for     Business 6 Update 18, 5.0 Update 23, and 1.4.2_25 allows     remote attackers to affect confidentiality via unknown     vectors. (CVE-2010-0091)

  - Unspecified vulnerability in the Java Runtime     Environment component in Oracle Java SE and Java for     Business 6 Update 18, 5.0 Update 23, and 1.4.2_25 allows     remote attackers to affect confidentiality, integrity,     and availability via unknown vectors. (CVE-2010-0095)

  - Unspecified vulnerability in the Sound component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, 1.4.2_25, and 1.3.1_27 allows remote     attackers to affect confidentiality, integrity, and     availability via unknown vectors. (CVE-2010-0839)

  - Unspecified vulnerability in the Java Runtime     Environment component in Oracle Java SE and Java for     Business 6 Update 18, 5.0 Update 23, and 1.4.2_25 allows     remote attackers to affect confidentiality, integrity,     and availability via unknown vectors. NOTE: the previous     information was obtained from the March 2010 CPU. Oracle     has not commented on claims from a reliable researcher     that this is related to improper checks when executing     privileged methods in the Java Runtime Environment     (JRE), which allows attackers to execute arbitrary code     via (1) an untrusted object that extends the trusted     class but has not modified a certain method, or (2) 'a     similar trust issue with interfaces,' aka 'Trusted     Methods Chaining Remote Code Execution Vulnerability.'.
    (CVE-2010-0840)

  - Unspecified vulnerability in the ImageIO component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, and 1.4.2_25 allows remote attackers to     affect confidentiality, integrity, and availability via     unknown vectors. NOTE: the previous information was     obtained from the March 2010 CPU. Oracle has not     commented on claims from a reliable researcher that this     is an integer overflow in the Java Runtime Environment     that allows remote attackers to execute arbitrary code     via a JPEG image that contains subsample dimensions with     large values, related to JPEGImageReader and 'stepX'.
    (CVE-2010-0841)

  - Unspecified vulnerability in the Sound component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, 1.4.2_25, and 1.3.1_27 allows remote     attackers to affect confidentiality, integrity, and     availability via unknown vectors. NOTE: the previous     information was obtained from the March 2010 CPU. Oracle     has not commented on claims from a reliable researcher     that this is an uncontrolled array index that allows     remote attackers to execute arbitrary code via a MIDI     file with a crafted MixerSequencer object, related to     the GM_Song structure. (CVE-2010-0842)

  - Unspecified vulnerability in the Sound component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, 1.4.2_25, and 1.3.1_27 allows remote     attackers to affect confidentiality, integrity, and     availability via unknown vectors. NOTE: the previous     information was obtained from the March 2010 CPU. Oracle     has not commented on claims from a reliable researcher     that this is related to XNewPtr and improper handling of     an integer parameter when allocating heap memory in the     com.sun.media.sound libraries, which allows remote     attackers to execute arbitrary code. (CVE-2010-0843)

  - Unspecified vulnerability in the Sound component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, 1.4.2_25, and 1.3.1_27 allows remote     attackers to affect confidentiality, integrity, and     availability via unknown vectors. NOTE: the previous     information was obtained from the March 2010 CPU. Oracle     has not commented on claims from a reliable researcher     that this is for improper parsing of a crafted MIDI     stream when creating a MixerSequencer object, which     causes a pointer to be corrupted and allows a NULL byte     to be written to arbitrary memory. (CVE-2010-0844)

  - Unspecified vulnerability in the ImageIO component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, 1.4.2_25, and 1.3.1_27 allows remote     attackers to affect confidentiality, integrity, and     availability via unknown vectors. NOTE: the previous     information was obtained from the March 2010 CPU. Oracle     has not commented on claims from a reliable researcher     that this is a heap-based buffer overflow that allows     remote attackers to execute arbitrary code, related to     an 'invalid assignment' and inconsistent length values     in a JPEG image encoder (JPEGImageEncoderImpl).
    (CVE-2010-0846)

  - Unspecified vulnerability in the Java 2D component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, 1.4.2_25, and 1.3.1_27 allows remote     attackers to affect confidentiality, integrity, and     availability via unknown vectors. NOTE: the previous     information was obtained from the March 2010 CPU. Oracle     has not commented on claims from a reliable researcher     that this is a heap-based buffer overflow that allows     arbitrary code execution via a crafted image.
    (CVE-2010-0847)

  - Unspecified vulnerability in the Java 2D component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, 1.4.2_25, and 1.3.1_27 allows remote     attackers to affect confidentiality, integrity, and     availability via unknown vectors. (CVE-2010-0848)

  - Unspecified vulnerability in the Java 2D component in     Oracle Java SE and Java for Business 6 Update 18, 5.0     Update 23, 1.4.2_25, and 1.3.1_27 allows remote     attackers to affect confidentiality, integrity, and     availability via unknown vectors. NOTE: the previous     information was obtained from the March 2010 CPU. Oracle     has not commented on claims from a reliable researcher     that this is a heap-based buffer overflow in a decoding     routine used by the JPEGImageDecoderImpl interface,     which allows code execution via a crafted JPEG image.
    (CVE-2010-0849)

The version of Oracle (formerly Sun) Java Runtime Environment (JRE) installed on the remote host is earlier than 6 Update 19 / 5.0 Update 24 / 1.4.2_26.  Such versions are potentially affected by security issues in the following components :

  - ImageIO
  - Java 2D
  - JRE
  - Java Web Start, Java Plug-in
  - Pack200
  - Sound
  - JSSE
  - HotSpot Server

Sun Java 6 was updated to Update 19, fixing a large number of security issues.

CVE-2009-3555 CVE-2010-0082 CVE-2010-0084 CVE-2010-0085 CVE-2010-0087 CVE-2010-0088 CVE-2010-0089 CVE-2010-0090 CVE-2010-0091 CVE-2010-0092 CVE-2010-0093 CVE-2010-0094 CVE-2010-0095 CVE-2010-0837 CVE-2010-0838 CVE-2010-0839 CVE-2010-0840 CVE-2010-0841 CVE-2010-0842 CVE-2010-0843 CVE-2010-0844 CVE-2010-0845 CVE-2010-0846 CVE-2010-0847 CVE-2010-0848 CVE-2010-0849 CVE-2010-0850

The java-1.5.0-sun packages as shipped in Red Hat Enterprise Linux 4 Extras and 5 Supplementary contain security flaws and should not be used.

The Red Hat Security Response Team has rated this update as having critical security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

The Sun 1.5.0 Java release includes the Sun Java 5 Runtime Environment and the Sun Java 5 Software Development Kit.

The java-1.5.0-sun packages are vulnerable to a number of security flaws and should no longer be used. (CVE-2009-3555, CVE-2010-0082, CVE-2010-0084, CVE-2010-0085, CVE-2010-0087, CVE-2010-0088, CVE-2010-0089, CVE-2010-0091, CVE-2010-0092, CVE-2010-0093, CVE-2010-0094, CVE-2010-0095, CVE-2010-0837, CVE-2010-0838, CVE-2010-0839, CVE-2010-0840, CVE-2010-0841, CVE-2010-0842, CVE-2010-0843, CVE-2010-0844, CVE-2010-0845, CVE-2010-0846, CVE-2010-0847, CVE-2010-0848, CVE-2010-0849)

The Sun Java SE Release family 5.0 reached its End of Service Life on November 3, 2009. The RHSA-2009:1571 update provided the final publicly available update of version 5.0 (Update 22). Users interested in continuing to receive critical fixes for Sun Java SE 5.0 should contact Oracle :

http://www.sun.com/software/javaforbusiness/index.jsp

An alternative to Sun Java SE 5.0 is the Java 2 Technology Edition of the IBM Developer Kit for Linux, which is available from the Extras and Supplementary channels on the Red Hat Network.

Applications capable of using the Java 6 runtime can be migrated to Java 6 on: OpenJDK (java-1.6.0-openjdk), an open source JDK included in Red Hat Enterprise Linux 5, since 5.3; the IBM JDK, java-1.6.0-ibm;
or the Sun JDK, java-1.6.0-sun.

This update removes the java-1.5.0-sun packages as they have reached their End of Service Life.

The remote Redhat Enterprise Linux 5 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2010:0471 advisory.

    This update corrects several security vulnerabilities in the IBM Java     Runtime Environment shipped as part of Red Hat Network Satellite Server     5.3. In a typical operating environment, these are of low security risk as     the runtime is not used on untrusted applets.

    Several flaws were fixed in the IBM Java 2 Runtime Environment.
    (CVE-2010-0084, CVE-2010-0085, CVE-2010-0087, CVE-2010-0088, CVE-2010-0089,     CVE-2010-0090, CVE-2010-0091, CVE-2010-0092, CVE-2010-0094, CVE-2010-0095,     CVE-2010-0837, CVE-2010-0838, CVE-2010-0839, CVE-2010-0840, CVE-2010-0841,     CVE-2010-0842, CVE-2010-0843, CVE-2010-0844, CVE-2010-0846, CVE-2010-0848,     CVE-2010-0849)

    Users of Red Hat Network Satellite Server 5.3 are advised to upgrade to     these updated java-1.6.0-ibm packages, which resolve these issues. For this     update to take effect, Red Hat Network Satellite Server must be restarted     (/usr/sbin/rhn-satellite restart), as well as all running instances of     IBM Java.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
45465	openSUSE セキュリティ更新：java-1_6_0-sun（java-1_6_0-sun-2228）	Nessus	SuSE Local Security Checks	2010/4/9	2022/5/25	high
47905	RHEL 3 / 4 / 5：java-1.4.2-ibm（RHSA-2010:0574）	Nessus	Red Hat Local Security Checks	2010/7/30	2024/11/4	critical
51971	VMSA-2011-0003 : VMware vCenter Server、vCenter Update Manager、ESXi および ESX に対する、サードパーティコンポーネントの更新	Nessus	VMware ESX Local Security Checks	2011/2/14	2022/5/25	high
46673	Mac OS X : Java for Mac OS X 10.5 Update 7	Nessus	MacOS X Local Security Checks	2010/5/19	2024/7/24	critical
46674	Mac OS X : Java for Mac OS X 10.6 Update 2	Nessus	MacOS X Local Security Checks	2010/5/19	2024/7/24	critical
49101	SuSE9 Security Update : IBM Java (YOU Patch Number 12626)	Nessus	SuSE Local Security Checks	2010/9/3	2022/5/25	high
50915	SuSE 11 / 11.1 Security Update : IBM Java / Java (SAT Patch Numbers 2812 / 2813)	Nessus	SuSE Local Security Checks	2010/12/2	2022/5/25	high
64842	Oracle Java SE Multiple Vulnerabilities (March 2010 CPU) (Unix)	Nessus	Misc.	2013/2/22	2022/5/25	high
45454	openSUSE Security Update : java-1_6_0-sun (java-1_6_0-sun-2228)	Nessus	SuSE Local Security Checks	2010/4/9	2022/5/25	high
46294	RHEL 4 / 5 : java-1.5.0-sun (RHSA-2010:0338)	Nessus	Red Hat Local Security Checks	2010/5/11	2022/5/25	high
47017	RHEL 5 : Red Hat Network Satellite Server IBM Java Runtime (RHSA-2010:0471)	Nessus	Red Hat Local Security Checks	2010/6/15	2024/11/4	critical

检测

插件搜索

high

critical

high

critical

critical

high

high

high

high

high

critical