s700_800 11.31 KRB5-Client バージョン 1.3.5.03 累積パッチ：

Kerberos を実行している HP-UX で、潜在的なセキュリティの脆弱性が特定されています。これらの脆弱性が、リモートの未承認のユーザーによって悪用され、サービス拒否（DoS）または任意のコードの実行が発生する可能性があります。

GLSA-201201-13 で説明されている脆弱性は、リモートホストに影響を与えます。（MIT Kerberos 5：複数の脆弱性）

MIT Kerberos 5 に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、管理デーモンまたは Key Distribution Center（KDC）デーモンの権限で任意のコードを実行し、サービス拒否状態を引き起こし、機密情報を取得する可能性があります。さらに、リモートの攻撃者が、Kerberos 承認の偽装、KDC 応答の修正、ユーザーデータメッセージの偽造、トークンの偽造、トークンの偽造、署名の偽造、クライアントのなりすまし、ユーザーが確認できるプロンプトテキストの修正を行ったり、その他の詳細不明な影響を与える可能性があります。
 回避策：

現時点で、既知の回避策はありません。

IBM Java 6 SR9 がリリースされており、多くのセキュリティの問題を修正しました。

IBM JDK アラートもこのページで検索できます：
http://www.ibm.com/developerworks/java/jdk/alerts/

a. Service Console openssl RPMに対するESXサードパーティの更新

   Service Console openssl RPM は、2 つのセキュリティ問題を解決する openssl-0.9.8e.12.el5_5.7 に更新されます。

   Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2008-7270 と CVE-2010-4180 を割り当てました。
   b. Service Console libuser RPM に対する、ESX サードパーティの更新。Service Console libuser RPM は、セキュリティの問題を解決するバージョン 0.54.7-2.1.el5_5.2 に更新されます。
     Common Vulnerabilities and Exposures Project（cve.mitre.org）は、この問題に CVE-2011-0002 を割り当てています。
  c. Service Console nssおよびnsprのRPMに対する、ESXサードパーティの更新。Service Console Network Security Services（NSS）およびNetscape Portable Runtime（NSPR）のライブラリは、複数のセキュリティの問題を解決するnspr-4.8.6-1およびnss-3.12.8-4に更新されます。
     Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）が、この問題に対する名称として CVE-2010-3170 と CVE-2010-3173 を割り当てました。
  d. vCenter Server および ESX、Oracle（Sun）JRE の更新 1.6.0_24

   Oracle（Sun）JRE がバージョン 1.6.0_24 に更新されています。これは Oracle（Sun）JRE の以前のリリースに存在した複数のセキュリティ問題に対処します。
     Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、JRE 1.6.0_24で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2010-4422、CVE-2010-4447、CVE-2010-4448、CVE-2010-4450、CVE-2010-4451、CVE-2010-4452、CVE-2010-4454、CVE-2010-4462、CVE-2010-4463、CVE-2010-4465、CVE-2010-4466、CVE-2010-4467、CVE-2010-4468、CVE-2010-4469、CVE-2010-4470、CVE-2010-4471、CVE-2010-4472、CVE-2010-4473、CVE-2010-4474、CVE-2010-4475およびCVE-2010-4476。
     Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、JRE 1.6.0_22で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2010-1321、CVE-2010-3541、CVE-2010-3548、CVE-2010-3549、CVE-2010-3550、CVE-2010-3551、CVE-2010-3552、CVE-2010-3553、CVE-2010-3554、CVE-2010-3555、CVE-2010-3556、CVE-2010-3557、CVE-2010-3558、CVE-2010-3559、CVE-2010-3560、CVE-2010-3561、CVE-2010-3562、CVE-2010-3563、CVE-2010-3565、CVE-2010-3566、CVE-2010-3567、CVE-2010-3568、CVE-2010-3569、CVE-2010-3570、CVE-2010-3571、CVE-2010-3572、CVE-2010-3573およびCVE-2010-3574。
  e. vCenter Update Manager Oracle（Sun）JRE の更新 1.5.0_30

   Oracle（Sun）JRE がバージョン 1.5.0_30 に更新されています。これは Oracle（Sun）JRE の以前のリリースに存在した複数のセキュリティ問題に対処します。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Oracle (Sun) JRE 1.5.0_30で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2011-0862、CVE-2011-0873、CVE-2011-0815、CVE-2011-0864、CVE-2011-0802、CVE-2011-0814、CVE-2011-0871、CVE-2011-0867およびCVE-2011-0865。

   Common Vulnerabilities and Exposuresプロジェクト（cve.mitre.org）は、Oracle (Sun) JRE 1.5.0_28で修正されたセキュリティ問題に次の名前を割り当てています:CVE-2010-4447、CVE-2010-4448、CVE-2010-4450、CVE-2010-4454、CVE-2010-4462、CVE-2010-4465、CVE-2010-4466、CVE-2010-4468、CVE-2010-4469、CVE-2010-4473、CVE-2010-4475、CVE-2010-4476。

f. VMwareサードパーティコンポーネントsfcbでの整数オーバーフロー

   サードパーティライブラリ SFCB において、/etc/sfcb/sfcb.cfg で httpMaxContentLength がそのデフォルト値の 0 から変更されている場合に、整数オーバーフローが存在します。このリリースでは、その問題を解決しています。
   整数オーバーフローにより、リモートの攻撃者が、Content-Length HTTP ヘッダーでの大きな整数を介して、サービス拒否（ヒープメモリの破損）を引き起こしたり、任意のコードを実行したりする可能性があります。
     Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、この問題に CVE-2010-2054 の識別名を割り当てています。

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2011:0880 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - TLS: セッション再ネゴシエーションを介した MITM 攻撃 (CVE-2009-3555)

  - krb5: GSS-API ライブラリの null ポインターデリファレンスにより DoS が発生 (MITKRB5-SA-2010-005) (CVE-2010-1321)

  - OpenJDK HttpURLConnection による任意のリクエストヘッダー (6961084,6980004) (CVE-2010-3541、CVE-2010-3573)

  - OpenJDK DNS サーバー IP アドレスの情報漏洩 (6957564) (CVE-2010-3548)

  - OpenJDK HttpURLConnection のリクエスト分割 (6952017) (CVE-2010-3549)

  - Java Web Start コンポーネントの JDK 詳細不明な脆弱性 (CVE-2010-3550、CVE-2010-3558)

  - OpenJDK ローカルネットワークアドレス漏洩 (6952603) (CVE-2010-3551)

  - OpenJDK Swing の安全でないリフレクション使用 (6622002) (CVE-2010-3553)

  - デプロイメントコンポーネントの JDK 詳細不明な脆弱性 (CVE-2010-3555、CVE-2010-4422、CVE-2010-4447、CVE-2010-4452、CVE-2010-4463、CVE-2010-4466、CVE-2010-4467、CVE-2010-4475)

  - 2D コンポーネントの JDK 詳細不明な脆弱性 (CVE-2010-3556、CVE-2010-3571)

  - OpenJDK Swing のミュート可能なスタティック (6938813) (CVE-2010-3557)

  - Networking コンポーネントの JDK 詳細不明な脆弱性 (CVE-2010-3560)

  - OpenJDK IndexColorModel の二重解放 (6925710) (CVE-2010-3562)

  - OpenJDK: デプロイメントコンポーネントの JDK 詳細不明な脆弱性 (CVE-2010-3563)

  - OpenJDK JPEG writeImage のリモートコード実行 (6963023) (CVE-2010-3565)

  - OpenJDK ICC プロファイルのリモートコード実行 (6963489) (CVE-2010-3566)

  - OpenJDK 逆シリアル化の競合状態 (6559775) (CVE-2010-3568)

  - OpenJDK シリアル化の不一致 (6966692) (CVE-2010-3569)

  - Sound コンポーネントの JDK 詳細不明な脆弱性 (CVE-2010-3572、CVE-2010-4454、CVE-2010-4462、CVE-2010-4473)

  - OpenJDK HttpURLConnection の不完全な TRACE 権限チェック (6981426) (CVE-2010-3574)

  - 信頼できないアプレットによる OpenJDK DNS キャッシュポイズニング (6981922) (CVE-2010-4448)

  - OpenJDK Swing タイマーベースのセキュリティマネージャーのバイパス (6907662) (CVE-2010-4465)

  - JDBC コンポーネントの JDK 詳細不明な脆弱性 (CVE-2010-4468)

  - OpenJDK Java2D のフォント関連システムのプロパティ漏洩 (6985453) (CVE-2010-4471)

  - JDK Double.parseDouble のサービス拒否 (CVE-2010-4476)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

IBM Java 1.4.2 SR13 は FP8 に更新され、多様なバグとセキュリティ問題が修正されました。

以下のセキュリティ問題が解決されました：

  - MIT Kerberos 5（別名krb5）バージョン1.8.2以前の1.7.1～1.8におけるGSS-APIライブラリ内のkrb5/accept_sec_context.cにあるkg_accept_krb5関数がkadmindおよびその他のアプリケーションで使用されると、無効なGSS-APIトークンを適切にチェックしません。これにより、認証されたリモートユーザーは、認証システムのチェックサムフィールドが欠落しているAP-REQメッセージを介してサービス拒否（NULLポインターデリファレンスおよびデーモンのクラッシュ）を引き起こすことが可能です。（CVE-2010-1321）

  - Oracle Java SE および Java for Business 6 Update 21、5.0 Update 25、1.4.2_27、および 1.3.1_28 のネットワーキングコンポーネントにおける詳細不明の脆弱性により、リモートの攻撃者が不明なベクトルを介して機密性、整合性および可用性に影響を与えることが可能です。注：前述の情報は October 2010 CPU から取得されました。
    Oracle は、信頼できないコードによる HTTP TRACE リクエストの実行を可能にする allowHttpTrace 権限を HttpURLConnection が適切にチェックしないという、信頼できる下流ベンダーによる主張についてコメントしていません。
    （CVE-2010-3574）

  - Java Runtime Environmentは、「2.2250738585072012e-308」をバイナリ浮動小数点値に変換すると、恒久的にハングします。（CVE-2010-4476）

Sun Java 1.6.0 は、セキュリティ更新 U22 に更新されました。

このリリースのリリースノートは、以下のサイトを参照してください：
http://www.oracle.com/technetwork/java/javase/6u22releasenotes-176121。
html

この更新のセキュリティアドバイザリのページ：
http://www.oracle.com/technetwork/topics/security/javacpuoct2010-176258.html

リモートの VMware ESX / ESXi ホストにセキュリティ関連のパッチがありません。
したがって、いくつかのサードパーティのコンポーネントとライブラリで、リモートコードの実行の脆弱性を含む複数の脆弱性による影響を受けます：

- Apache Tomcat 
 - Apache Tomcat Manager
 - cURL 
 - Java Runtime Environment (JRE)
 - Kernel 
 - Microsoft SQL Express
 - OpenSSL
 - pam_krb5

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
47149	HP-UX PHSS_41168：Kerberos を実行している HP-UX、リモートサービス拒否（DoS）、任意のコードの実行（HPSBUX02544 SSRT100107 rev.1）	Nessus	HP-UX Local Security Checks	2010/6/28	2021/1/11	high
57655	GLSA-201201-13：MIT Kerberos 5：複数の脆弱性	Nessus	Gentoo Local Security Checks	2012/1/24	2021/1/6	medium
51750	SuSE 10 セキュリティ更新：IBM Java 6 SR9（ZYPP パッチ番号 7312）	Nessus	SuSE Local Security Checks	2011/1/27	2021/1/19	critical
56665	VMSA-2011-0013：VMware vCenter Server、vCenter Update Manager、ESXi、および ESX に対する、VMware サードパーティコンポーネントの更新	Nessus	VMware ESX Local Security Checks	2011/10/28	2021/1/6	critical
63983	RHEL 5 : Red Hat Network Satellite サーバー IBM Java Runtime (RHSA-2011:0880)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/21	critical
52631	SuSE 11.1 セキュリティ更新：IBM Java（SAT パッチ番号 4024）	Nessus	SuSE Local Security Checks	2011/3/11	2021/1/19	critical
57203	SuSE 10 セキュリティ更新：IBM Java（ZYPP パッチ番号 7440）	Nessus	SuSE Local Security Checks	2011/12/13	2021/1/19	critical
50919	SuSE 11 / 11.1 セキュリティ更新：Java 1.6.0 （SAT パッチ番号 3347 / 3349）	Nessus	SuSE Local Security Checks	2010/12/2	2021/1/14	critical
89674	VMware ESX/ESXi サードパーティライブラリの複数の脆弱性（VMSA-2011-0003）（remote check）	Nessus	Misc.	2016/3/4	2022/5/25	high

检测

插件搜索

high

medium

critical

critical

critical

critical

critical

critical

high