Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Java SE、Oracle Java SE の Java SE Embedded コンポーネントの脆弱性（サブコンポーネント： セキュリティ）。
    サポートされているバージョンで影響を受けるのは、Java SE：6u141、7u131、8u121、 Java SE Embedded：8u121。
    悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embeddedがアクセスできるデータの一部が、権限なしで更新、挿入、削除される可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2017-3539)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストは、GLSA-201705-03（Oracle JDK/JRE：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がOracleのJREおよびJDKで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、プロセスの権限で任意のコードを実行したり、情報へのアクセス権を取得したり、サービス拒否状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

java-1_8_0-openjdk用のこの更新プログラムでは、以下の問題が修正されています：

  - バージョンjdk8u131（icedtea 3.4.0）にアップグレードします - bsc#1034849

  - セキュリティ修正

  - S8163520、CVE-2017-3509：キャッシュエントリを再利用します

  - S8163528、CVE-2017-3511：ライブラリのロードを改善します

  - S8165626、CVE-2017-3512：ウィンドウフレーミングを改善しました

  - S8167110、CVE-2017-3514：Windowsピアリングの問題

  - S8168699：特殊なケースの呼び出しを検証します

  - S8169011、CVE-2017-3526：XML解析ツリーのサイズ変更

  - S8170222、CVE-2017-3533：ファイルの転送を改善します

  - S8171121、CVE-2017-3539：jarチェックの強化

  - S8171533、CVE-2017-3544：メール転送を改善します

  - S8172299：クラス処理を改善します

  - 新機能

  - PR1969：AArch32 JITポートを追加します

  - PR3297：ShenandoahをAArch64上で使用できるようにします

  - PR3340：jstack.stpはAArch64をサポートする必要があります

  - OpenJDK 8 u131ビルド11のインポート

  - S6474807：（smartcardio）CardTerminal.connect()がCardNotPresentExceptionの代わりにCardExceptionをスローします

  - S6515172、PR3346：Runtime.availableProcessors()は、Linux tasksetコマンドを無視します

  - S7155957：
    closed/java/awt/MenuBar/MenuBarStress1/MenuBarStress1.javaがjdk8のwin 64ビットでハングアップします

  - S7167293：FileNotFoundException上のFtpURLConnection接続漏洩

  - S8035568：[macosx] カーソル管理の統一

  - S8079595：JWindowの親であるダイアログのサイズを変更すると、JVMがクラッシュします

  - S8130769：[追加]ボタンをクリックすると、メニューバーに新しいメニューが表示されなくなります。

  - S8146602：
    jdk/test/sun/misc/URLClassPath/ClassnameCharTest.javaテストがNullPointerExceptionで失敗します

  - S8147842：IME合成ウィンドウが間違った場所に表示されます

  - S8147910、PR3346：初期active_processor_countをキャッシュします

  - S8150490：Windows Server 2016を認識するように、OS検出コードを更新します

  - S8160951：[TEST_BUG] javax/xml/bind/marshal/8134111/UnmarshalTest.javaを：needs_jre groupに追加する必要があります

  - S8160958：[TEST_BUG] java/net/SetFactoryPermission/SetFactoryPermission.javaを：needs_compact2グループに追加する必要があります

  - S8161147：-XX時にjvmがクラッシュします：+ UseCountedLoopSafepointsが有効化されています

  - S8161195：リグレッション：
    closed/javax/swing/text/FlowView/LayoutTest.java

  - S8161993、PR3346：起動中にactive_processor_countが変更されると、G1がクラッシュします

  - S8162876：[TEST_BUG] sun/net/www/protocol/http/HttpInputStream.javaが断続的に失敗します

  - S8162916：sun/security/krb5/auto/UnboundSSL.javaのテストが失敗します

  - S8164533：
    sun/security/ssl/SSLSocketImpl/CloseSocket.javaが「Error after while clean up after test（テスト後のスレッドのクリーンアップ中のエラー）」で失敗しました

  - S8167179：XSL生成名前空間プレフィックスを変換プロセスに対してローカルにします

  - S8168774：Polymorhic署名方法チェックでjavacがクラッシュします

  - S8169465：com.sun.jndi.ldap.pool.Connectionsのデッドロック

  - S8169589：[macosx] JDialogをアクティブにすると、別のダイアログが戻されます

  - S8170307：スタックサイズオプション-Xssが無視されます

  - S8170316：（tz）tzdata2016iをサポートします

  - S8170814：キャッシュエントリを再利用します（パートII）

  - S8170888、PR3314、RH1284948：[linux] コンテナ（つまり、Docker）環境におけるcgroupメモリ制限の実験的サポート

  - S8171388：JNDIスレッドのコンテキストを更新します

  - S8171949：[macosx] AWT_ZoomFrame自動化テストが次のエラーで失敗します：フレームがICONIFIED状態の場合に、ビット単位マスクFrame.ICONIFIEDが設定されません

  - S8171952：[macosx] クリック時にダイアログ上のダミーボタンにフォーカスが当たらないため、AWT_Modality/Automated/ModalExclude/NoExclude/Modele ssDialogテストが失敗します。

  - S8173030：8u131-b03からの一時バックアウト修正#8035568

  - S8173031：8u131-b03からの一時バックアウト修正#8171952

  - S8173783、PR3328：IllegalArgumentException：
    jdk.tls.namedGroups

  - S8173931：8u111 L10n リソースファイルの更新

  - S8174844：間違ったGPLヘッダーにより、REスクリプトが、ライセンシーソースバンドルの商用ヘッダーへのスワップに失敗します

  - S8174985：NTLMキャッシュが無効な場合は、NTLM認証がIISで機能しません

  - S8176044：（tz）tzdata2017aをサポートします

  - バックポート

  - S6457406、PR3335：javadocは、インデックスページの生成で<a href='http://...'>を正しく処理しません

  - S8030245、PR3335：try-with-resourcesとmulti-catchを使用するようにlangtoolsを更新します

  - S8030253、PR3335：strings-in-switchを使用するようにlangtoolsを更新します

  - S8030262、PR3335：foreachループを使用するようにlangtoolsを更新します

  - S8031113、PR3337：TEST_BUG：
    java/nio/channels/AsynchronousChannelGroup/Basic.javaが断続的に失敗します

  - S8031625、PR3335：内部クラスコンストラクターを参照するjavadocの問題

  - S8031649、PR3335：javadocテストをクリーンアップします

  - S8031670、PR3335：javadocテストで不必要な-sourceオプションを削除します

  - S8032066、PR3335：シリアル化された形式によって、パッケージプライベートの非プライベート内部クラスへのリンクが破壊されました

  - S8034174、PR2290：java.netコードからJVM_*関数の使用を削除します

  - S8034182、PR2290：java.netコードのその他の警告

  - S8035876、PR2290：「8034174：
    java.netコードからJVM_*関数の使用を削除します」以降のAIXビルド問題

  - S8038730、PR3335：JavadocTesterが呼び出される方法をクリーンアップし、エラーをチェックします。

  - S8040903、PR3335：javadocテストでのBUG_IDの使用をクリーンアップします

  - S8040904、PR3335：javadocテストがテスト内の結果を上書きしないようにします

  - S8040908、PR3335：javadocテストTestDocEncodingで、

    -notimestampを使用する必要があります

  - S8041150、PR3335：JavadocTesterでの静的メソッドの不適切な使用を回避します

  - S8041253、PR3335：NO_TESTの冗長な同義語を回避します

  - S8043780、PR3368：fcntl(FD_CLOEXEC)の代わりにopen(O_CLOEXEC)を使用します

  - S8061305、PR3335：メソッド名が「Property」で終わる場合にJavadocがクラッシュします

  - S8072452、PR3337：最大8192ビットのDHEサイズと最大3072ビットのDSAサイズをサポートします

  - S8075565、PR3337：@intermittent jtregキーワードを定義し、断続的に失敗するjdkテストをマークします

  - S8075670、PR3337：一部のテストから断続的なキーワードを削除します

  - S8078334、PR3337：ランダム性を使用して回帰テストをマークします

  - S8078880、PR3337：さらにいくつかの断続的に失敗するsecurity-libをマークします

  - S8133318、PR3337：Solaris SPARC 11.1以前で断続的に失敗するPKCS11テストを除外します

  - S8144539、PR3337：セキュリティマネージャーで実行するようにPKCS11テストを更新します

  - S8144566、PR3352：カスタムHostnameVerifierによってSNI拡張が無効になります

  - S8153711、PR3313、RH1284948：[REDO] JDWP：メモリリーク：
    invokeMethodコマンドの処理時にGlobalRefsが削除されないようにします

  - S8155049、PR3352：8144566からの新しいテストが、「No expected Server Name Indication（想定されたサーバー名表示なし）」で失敗します

  - S8173941、PR3326：実行可能ファイルがDSOの場合は、SAが機能しません

  - S8174164、PR3334、RH1417266：
    SafePointNode：：_replaced_nodesが簡略化不能なループで中断します

  - S8174729、PR3336、RH1420518：java.lang.reflect.WeakCacheの競合状態

  - S8175097、PR3334、RH1417266：[TESTBUG] 8174164修正でテストに失敗しました

  - バグ修正

  - PR3348：SystemTapタップセットでサポートされていないアーキテクチャから解析エラーがスローされます

  - PR3378：Perlを必須にする必要があります

  - PR3389：javac.inとjavah.inは、ハードコードされたパスではなく、@PERL@を使用する必要があります

  - AArch64ポート

  - S8168699、PR3372：特殊なケースの呼び出しを検証します（AArch64のサポート）

  - S8170100、PR3372：AArch64：参照にアクセスするC1コンパイルコードでクラッシュします

  - S8172881、PR3372：AArch64：アサーション失敗：int圧力が正しくありません

  - S8173472、PR3372：AArch64：C1とnullの比較では、32ビット命令のみを使用します

  - S8177661、PR3372：広告ルール出力レジスターのタイプをiRegXからiRegXNoSpに修正します

  - AArch32ポート

  - PR3380：AArch32 HotSpotビルドを使用したarmでは、デフォルトで0を有効にしないようにする必要があります

  - PR3384、S8139303、S8167584：構成するAArch32アーキテクチャとjdk makefileのサポートを追加します

  - PR3385：aarch32は-Xshare：dumpをサポートしていません

  - PR3386、S8164652：C1ビルドと整合性のないAArch32 jvm.cfg

  - PR3387：INSTALL_ARCH_DIRはaarch32ではなくarmであるため、AArch32ポートを備えたarmではインストールが失敗します

  - PR3388：AArch32ビルドを備えたarmで使用されているjvm.cfgの間違ったパス

  - Shenandoah

  - 32ビットビルドのShenandoah引数チェックを修正します。

  - Shenandoahタグaarch64-shenandoah-jdk8u101-b14-shenandoah-merge-2016-07-25からのインポート

  - Shenandoahタグaarch64-shenandoah-jdk8u121-b14-shenandoah-merge-2017-02-20からのインポート

  - Shenandoahタグaarch64-shenandoah-jdk8u121-b14-shenandoah-merge-2017-03-06からのインポート

  - Shenandoahタグaarch64-shenandoah-jdk8u121-b14-shenandoah-merge-2017-03-09からのインポート

  - Shenandoahタグaarch64-shenandoah-jdk8u121-b14-shenandoah-merge-2017-03-23</a>からのインポート

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

java-1.8.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのJCEコンポーネントで、信頼できないライブラリの検索パスの欠陥が見つかりました。ローカルの攻撃者がこの欠陥を利用して、JCEを使用してJavaアプリケーションに攻撃者が制御するライブラリを読み込ませて、権限を昇格させる可能性があります。（CVE-2017-3511）* XML文書の解析時に、OpenJDKのJAXPコンポーネントが解析ツリーのサイズ制限を正しく実施していなかったことがわかりました。特別に細工されたXMLドキュメントをJavaアプリケーションに解析させることができる攻撃者がこの欠陥を利用して、過剰な量のCPUとメモリを消費させる可能性があります。（CVE-2017-3526）* OpenJDKのNetworkingコンポーネントのHTTPクライアント実装が、異なるセキュリティコンテキストでNTLM認証接続をキャッシュして再利用する可能性があることがわかりました。リモートの攻撃者がこの欠陥を利用して、Javaアプリケーションに異なるユーザーの資格情報で認証されたHTTPリクエストを実行させる可能性があります。（CVE-2017-3509）注意：この更新プログラムにより、「jdk.ntlm.cache」システムプロパティへのサポートが追加されます。falseに設定されたとき、NTLM接続と認証のキャッシュを防止してこの問題を防ぐことができます。ただし、キャッシュはデフォルトで有効なままです。* OpenJDKのセキュリティコンポーネントでは、Jarの整合性検証に許可されている一連のアルゴリズムをユーザーが制限できないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。（CVE-2017-3539）注意：この更新により、RHSA-2016：2079エラッタの一部としてリリースされたCVE-2016-5542の修正が拡張され、Jar整合性の検証中のMD5ハッシュアルゴリズムをjdk.jar.disabledAlgorithmsセキュリティプロパティに追加することによって許可することができなくなりました。* OpenJDKのNetworkingコンポーネントのFTPおよびSMTPクライアント実装に、改行の挿入の欠陥が発見されました。リモートの攻撃者はこうした欠陥を利用して、Javaアプリケーションによって確立されたFTP接続またはSMTP接続を操作する可能性があります。（CVE-2017-3533、CVE-2017-3544）注意：icedtea-webパッケージで提供されるWebブラウザープラグインがインストールされている場合、ユーザーが悪意のあるWebサイトにアクセスすると、Javaアプレットにより引き起こされる問題が、ユーザーとのやりとりなしに悪用される可能性があります。バグ修正プログラム：* 標的の仮想マシンにあるJDWP（Java Debug Wire Protocol）「invokeMethod」コマンドを使用してメソッドを呼び出すと、JDWPは、メソッドの呼び出しに包含されているすべてのオブジェクトと返された参照型の引数のグローバル参照を作成します。以前は、このような引数用に作成されたグローバル参照は、「invokeMethod」が終了した後にガベージコレクタによって収集（割り当て解除）されませんでした。そのため、メモリリークが発生し、そのようなオブジェクトへの参照が解放されなかったため、デバッグされたアプリケーションがメモリ不足エラーで終了する可能性がありました。このバグは修正され、前述の問題は発生しなくなりました。（BZ＃1442162）

出典：Red Hatセキュリティアドバイザリ2017：1108：java-1.8.0-openjdkの更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのJCEコンポーネントで、信頼できないライブラリの検索パスの欠陥が見つかりました。ローカルの攻撃者がこの欠陥を利用して、JCEを使用してJavaアプリケーションに攻撃者が制御するライブラリを読み込ませて、権限を昇格させる可能性があります。（CVE-2017-3511）* XML文書の解析時に、OpenJDKのJAXPコンポーネントが解析ツリーのサイズ制限を正しく実施していなかったことがわかりました。特別に細工されたXMLドキュメントをJavaアプリケーションに解析させることができる攻撃者がこの欠陥を利用して、過剰な量のCPUとメモリを消費させる可能性があります。（CVE-2017-3526）* OpenJDKのNetworkingコンポーネントのHTTPクライアント実装が、異なるセキュリティコンテキストでNTLM認証接続をキャッシュして再利用する可能性があることがわかりました。リモートの攻撃者がこの欠陥を利用して、Javaアプリケーションに異なるユーザーの資格情報で認証されたHTTPリクエストを実行させる可能性があります。（CVE-2017-3509）注意：この更新プログラムにより、「jdk.ntlm.cache」システムプロパティへのサポートが追加されます。falseに設定されたとき、NTLM接続と認証のキャッシュを防止してこの問題を防ぐことができます。ただし、キャッシュはデフォルトで有効なままです。* OpenJDKのセキュリティコンポーネントでは、Jarの整合性検証に許可されている一連のアルゴリズムをユーザーが制限できないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。（CVE-2017-3539）注意：この更新により、RHSA-2016：2079エラッタの一部としてリリースされたCVE-2016-5542の修正が拡張され、Jar整合性の検証中のMD5ハッシュアルゴリズムをjdk.jar.disabledAlgorithmsセキュリティプロパティに追加することによって許可することができなくなりました。* OpenJDKのNetworkingコンポーネントのFTPおよびSMTPクライアント実装に、改行の挿入の欠陥が発見されました。リモートの攻撃者はこうした欠陥を利用して、Javaアプリケーションによって確立されたFTP接続またはSMTP接続を操作する可能性があります。（CVE-2017-3533、CVE-2017-3544）注意：icedtea-webパッケージで提供されるWebブラウザープラグインがインストールされている場合、ユーザーが悪意のあるWebサイトにアクセスすると、Javaアプレットにより引き起こされる問題が、ユーザーとのやりとりなしに悪用される可能性があります。バグ修正プログラム：* 標的の仮想マシンにあるJDWP（Java Debug Wire Protocol）「invokeMethod」コマンドを使用してメソッドを呼び出すと、JDWPは、メソッドの呼び出しに包含されているすべてのオブジェクトと返された参照型の引数のグローバル参照を作成します。以前は、このような引数用に作成されたグローバル参照は、「invokeMethod」が終了した後にガベージコレクタによって収集（割り当て解除）されませんでした。そのため、メモリリークが発生し、そのようなオブジェクトへの参照が解放されなかったため、デバッグされたアプリケーションがメモリ不足エラーで終了する可能性がありました。このバグは修正され、前述の問題は発生しなくなりました。（BZ＃1442162）

出典：Red Hatセキュリティアドバイザリ2017:1109：java-1.8.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのJCEコンポーネントで、信頼できないライブラリの検索パスの欠陥が見つかりました。ローカルの攻撃者がこの欠陥を利用して、JCEを使用してJavaアプリケーションに攻撃者が制御するライブラリを読み込ませて、権限を昇格させる可能性があります。（CVE-2017-3511）* XML文書の解析時に、OpenJDKのJAXPコンポーネントが解析ツリーのサイズ制限を正しく実施していなかったことがわかりました。特別に細工されたXMLドキュメントをJavaアプリケーションに解析させることができる攻撃者がこの欠陥を利用して、過剰な量のCPUとメモリを消費させる可能性があります。（CVE-2017-3526）* OpenJDKのNetworkingコンポーネントのHTTPクライアント実装が、異なるセキュリティコンテキストでNTLM認証接続をキャッシュして再利用する可能性があることがわかりました。リモートの攻撃者がこの欠陥を利用して、Javaアプリケーションに異なるユーザーの資格情報で認証されたHTTPリクエストを実行させる可能性があります。（CVE-2017-3509）注意：この更新プログラムにより、「jdk.ntlm.cache」システムプロパティへのサポートが追加されます。falseに設定されたとき、NTLM接続と認証のキャッシュを防止してこの問題を防ぐことができます。ただし、キャッシュはデフォルトで有効なままです。* OpenJDKのセキュリティコンポーネントでは、Jarの整合性検証に許可されている一連のアルゴリズムをユーザーが制限できないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。（CVE-2017-3539）注意：この更新により、RHSA-2016：2079エラッタの一部としてリリースされたCVE-2016-5542の修正が拡張され、Jar整合性の検証中のMD5ハッシュアルゴリズムをjdk.jar.disabledAlgorithmsセキュリティプロパティに追加することによって許可することができなくなりました。* OpenJDKのNetworkingコンポーネントのFTPおよびSMTPクライアント実装に、改行の挿入の欠陥が発見されました。リモートの攻撃者はこうした欠陥を利用して、Javaアプリケーションによって確立されたFTP接続またはSMTP接続を操作する可能性があります。（CVE-2017-3533、CVE-2017-3544）注意：icedtea-webパッケージで提供されるWebブラウザープラグインがインストールされている場合、ユーザーが悪意のあるWebサイトにアクセスすると、Javaアプレットにより引き起こされる問題が、ユーザーとのやりとりなしに悪用される可能性があります。

リモートホストにインストールされているOracle（旧Sun）Java SEまたはJava for Businessのバージョンは、6は更新プログラム151、7は更新プログラム141、8は更新プログラム131より前です。したがって、次の複数の脆弱性による影響を受けます。- Networkingサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者が機密性と整合性に影響を及ぼす可能性があります。（CVE-2017-3509）-JCEサブコンポーネントに不特定の欠陥が存在するため、ローカルの攻撃者が昇格権限を得る可能性があります。この脆弱性はJava SEバージョン6には影響しません。（CVE-2017-3511）-AWTサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。この脆弱性は、Java SEバージョン6には影響しません。（CVE-2017-3512）-AWTサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3514）-JAXPサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者がサービス拒否状態引き起こす可能性があります。（CVE-2017-3526）-Networkingサブコンポーネントに複数の不特定の欠陥が存在し、認証されていないリモートの攻撃者が許可されていないデータを更新、挿入、または削除する可能性があります。（CVE-2017-3533、CVE-2017-3544）-セキュリティのサブコンポーネントに不特定の欠陥が存在し、認証されていないリモートの攻撃者が許可されていないデータを更新、挿入、または削除する可能性があります。（CVE-2017-3539）

セキュリティ修正プログラム:

  - OpenJDKのJCEコンポーネントで、信頼できないライブラリの検索パスの欠陥が見つかりました。ローカルの攻撃者がこの欠陥を利用して、JCEを使用してJavaアプリケーションに攻撃者が制御するライブラリを読み込ませて、権限を昇格させる可能性があります。（CVE-2017-3511）

  - XML文書の解析時に、OpenJDKのJAXPコンポーネントが解析ツリーのサイズ制限を正しく実施していなかったことがわかりました。特別に細工されたXMLドキュメントをJavaアプリケーションに解析させることができる攻撃者がこの欠陥を利用して、過剰な量のCPUとメモリを消費させる可能性があります。（CVE-2017-3526）

  - OpenJDKのNetworkingコンポーネントのHTTPクライアント実装が、異なるセキュリティコンテキストでNTLM認証接続をキャッシュして再利用する可能性があることがわかりました。リモートの攻撃者がこの欠陥を利用して、Javaアプリケーションに異なるユーザーの資格情報で認証されたHTTPリクエストを実行させる可能性があります。（CVE-2017-3509）

注: この更新プログラムにより、「jdk.ntlm.cache」システムプロパティへのサポートが追加されます。falseに設定されたとき、NTLM接続と認証のキャッシュを防止してこの問題を防ぐことができます。
ただし、デフォルトではキャッシュは有効なままです。

  - OpenJDKのセキュリティコンポーネントでは、Jarの整合性検証に許可されている一連のアルゴリズムをユーザーが制限できないことがわかりました。この欠陥により、弱い署名鍵またはハッシュアルゴリズムを使用したJarファイルのコンテンツを攻撃者が変更する可能性があります。（CVE-2017-3539）

注: この更新プログラムにより、SLSA-2016:2079エラッタの一部としてリリースされた CVE-2016-5542 の修正が拡張され、Jar整合性の検証中のMD5ハッシュアルゴリズムをjdk.jar.disabledAlgorithmsセキュリティプロパティに追加することによって許可することができなくなりました。

  - OpenJDKのNetworkingコンポーネントのFTPおよびSMTPクライアント実装に、改行の挿入の欠陥が発見されました。リモートの攻撃者はこうした欠陥を利用して、Javaアプリケーションによって確立されたFTP接続またはSMTP接続を操作する可能性があります。（CVE-2017-3533、CVE-2017-3544）

注: icedtea-webパッケージで提供されるWebブラウザープラグインがインストールされている場合、ユーザーが悪意のあるWebサイトにアクセスすると、Javaアプレットにより引き起こされる問題が、ユーザーとのやり取りなしに悪用される可能性があります。

java-1.7.0-oracleの更新プログラムが、Oracle Java for Red Hat Enterprise Linux 6およびOracle Java for Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Oracle Java SEバージョン7には、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットが含まれます。この更新プログラムで、Oracle Java SE 7がバージョン7 Update 141にアップグレードされます。セキュリティ修正プログラム：* この更新では、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットにある複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションに一覧表示されているOracle Java SE Critical Patch Updateアドバイザリのページを参照してください。（CVE-2017-3509、CVE-2017-3511、CVE-2017-3526、CVE-2017-3533、CVE-2017-3539、CVE-2017-3544）

このjava-1_7_1-ibmの更新では、次の問題が修正されます：7.1-4.5 bsc#1038505へのバージョン更新

  - CVE-2016-9840：zlib：inftrees.cでの領域外ポインター演算

  - CVE-2016-9841：zlib：inffast.cでの領域外ポインター演算

  - CVE-2016-9842：zlib：負数の未定義の左シフト

  - CVE-2016-9843：zlib：ビッグエンディアン領域外ポインター

  - CVE-2017-1289：IBM JDK：XMLデータの処理時のXML外部エンティティインジェクション（XXE）エラー

  - CVE-2017-3509：OpenJDK：NTLM認証接続の不適切な再使用

  - CVE-2017-3511：OpenJDK：Launcherの信頼できない拡張ディレクトリ検索パス

  - CVE-2017-3539：OpenJDK：jar検証で許可されるMD5

  - CVE-2017-3533：OpenJDK：FTPクライアントの改行挿入

  - CVE-2017-3544：OpenJDK：SMTPクライアントの改行挿入

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのAIXホスト上にインストールされているJava SDKのバージョンは、以下のサブコンポーネントで複数の脆弱性による影響を受けます。- zlibサブコンポーネントに複数の脆弱性があり、認証されたリモートの攻撃者がサービス拒否状態を引き起こす可能性があります。（CVE-2016-9840、CVE-2016-9841、CVE-2016-9842、CVE-2016-9843）- 詳細不明な欠陥がXMLサブコンポーネントにあり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-1289）- Networkingサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が機密性と整合性に影響を及ぼす可能性があります。（CVE-2017-3509）-JCEサブコンポーネントに詳細不明な欠陥があり、ローカルの攻撃者が昇格した権限を取得する可能性があります。この脆弱性はJava SEバージョン6には影響しません。（CVE-2017-3511）-AWTサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。この脆弱性は、Java SEバージョン6には影響しません。（CVE-2017-3512）-AWTサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。（CVE-2017-3514）- Networkingサブコンポーネントに複数の詳細不明な欠陥があり、認証されていないリモートの攻撃者が許可されていないデータを更新、挿入、または削除する可能性があります。（CVE-2017-3533、CVE-2017-3544）-セキュリティのサブコンポーネントに詳細不明な欠陥があり、認証されていないリモートの攻撃者が許可されていないデータを更新、挿入、または削除する可能性があります。（CVE-2017-3539）

java-1_6_0-ibm用のこの更新プログラムでは、以下の問題が修正されています：

  - 6.0-16.45 bsc#1038505へのバージョン更新

  - CVE-2016-9840：zlib：inftrees.cでの領域外ポインター演算

  - CVE-2016-9841：zlib：inffast.cでの領域外ポインター演算

  - CVE-2016-9842：zlib：負数の未定義の左シフト

  - CVE-2016-9843：zlib：ビッグエンディアン領域外ポインター

  - CVE-2017-1289：IBM JDK：XMLデータの処理時のXML外部エンティティインジェクション（XXE）エラー

  - CVE-2017-3509：OpenJDK：NTLM認証接続の不適切な再使用

  - CVE-2017-3539：OpenJDK：jar検証で許可されるMD5

  - CVE-2017-3533：OpenJDK：FTPクライアントの改行挿入

  - CVE-2017-3544：OpenJDK：SMTPクライアントの改行挿入

  - 6.0-16.40 bsc#1027038 CVE-2016-2183へのバージョン更新

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The version of Oracle Java SE installed on the remote host is prior to 6 Update 151, 7 Update 141, or 8 Update 131, and is therefore affected by multiple vulnerabilities :

  - An unspecified flaw exists in the Networking subcomponent that allows an unauthenticated, remote attacker to impact confidentiality and integrity. (CVE-2017-3509)
  - An unspecified flaw exists in the JCE subcomponent that allows a local attacker to gain elevated privileges. This vulnerability does not affect Java SE version 6. (CVE-2017-3511)
  - An unspecified flaw exists in the AWT subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. This vulnerability does not affect Java SE version 6. (CVE-2017-3512)
  - An unspecified flaw exists in the AWT subcomponent that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-3514)
  - An unspecified flaw exists in the JAXP subcomponent that allows an unauthenticated, remote attacker to cause a denial of service condition. (CVE-2017-3526)
  - Multiple unspecified flaws exist in the Networking subcomponent that allow an unauthenticated, remote attacker to gain update, insert, or delete access to unauthorized data. (CVE-2017-3533, CVE-2017-3544)
  - An unspecified flaw exists in the Security subcomponent that allows an unauthenticated, remote attacker to gain update, insert, or delete access to unauthorized data. (CVE-2017-3539)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
221151	Linux Distros のパッチ未適用の脆弱性: CVE-2017-3539	Nessus	Misc.	2025/3/4	2025/8/18	low
100017	GLSA-201705-03：Oracle JDK/JRE：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/5/8	2021/1/11	high
100541	SUSE SLED12 / SLES12セキュリティ更新プログラム：java-1_8_0-openjdk（SUSE-SU-2017:1445-1）	Nessus	SuSE Local Security Checks	2017/5/31	2021/1/6	high
99540	CentOS 7：java-1.8.0-openjdk（CESA-2017:1108）	Nessus	CentOS Local Security Checks	2017/4/21	2021/1/4	high
99566	Oracle Linux 7：java-1.8.0-openjdk（ELSA-2017-1108）	Nessus	Oracle Linux Local Security Checks	2017/4/21	2025/2/18	high
99567	Oracle Linux 6：java-1.8.0-openjdk（ELSA-2017-1109）	Nessus	Oracle Linux Local Security Checks	2017/4/21	2025/2/18	high
99589	Oracle Java SEの複数の脆弱性（2017年4月CPU）（UNIX）	Nessus	Misc.	2017/4/21	2025/2/18	critical
99621	Scientific Linux セキュリティ更新: SL6.x i386/x86_64のjava-1.8.0-openjdk（20170421）	Nessus	Scientific Linux Local Security Checks	2017/4/24	2021/1/14	high
99651	RHEL 6/7：java-1.7.0-oracle（RHSA-2017:1118）	Nessus	Red Hat Local Security Checks	2017/4/25	2021/3/11	high
100378	SUSE SLES11セキュリティ更新プログラム：java-1_7_1-ibm（SUSE-SU-2017:1387-1）	Nessus	SuSE Local Security Checks	2017/5/24	2021/1/19	critical
103189	AIX Javaアドバイザリ：java_apr2017_advisory.asc（2017年4月CPU）	Nessus	AIX Local Security Checks	2017/9/13	2023/4/21	high
119998	SUSE SLES12セキュリティ更新プログラム：java-1_6_0-ibm（SUSE-SU-2017:1389-1）	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/11	critical
700090	Oracle Java SE 6 < Update 151 / 7 < Update 141 / 8 < Update 131 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2017/5/10	2019/3/6	high

检测

插件搜索

low

high

high

high

high

high

critical

high

high

critical

high

critical

high