SingleEntryRegistryにおける逆シリアル化フィルターの不適切な設定（JMX、8186998）：OpenJDKのJMXコンポーネントが、特定の場合にSingleEntryRegistryの逆シリアル化フィルターを適切に設定できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、目的の逆シリアル化制限をバイパスする可能性があります。（CVE-2018-2637）信頼できない場所からのクラスの読み込み（I18n、8182601）：OpenJDKのI18nコンポーネントが、リソースバンドルクラスを読み込むときに、信頼できない検索パスを使用する可能性があることがわかりました。ローカルの攻撃者がこの欠陥を使用して、Javaアプリケーションに攻撃者が制御するクラスファイルを読み込ませることで別のローカルユーザーとして任意のコードを実行する可能性があります。（CVE-2018-2602）LdapLoginModuleによるLDAPクエリでの不十分なユーザー名のコード化（LDAP、8178449）：OpenJDKのLDAPコンポーネントが、LDAP検索クエリに特殊文字を追加するときに、ユーザー名の特殊文字を適切にコード化できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、LdapLoginModuleクラスが実行するLDAPクエリを操作する可能性があります。（CVE-2018-2588）不整合状態へのArrayBlockingQueueの逆シリアル化（Libraries、8189284）：Java SE、Java SE Embedded、Oracle Java SEのJRockitコンポーネントの脆弱性（サブコンポーネント：Libraries）。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockitの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、クライアントとサーバーへのJavaの配置が対象です。この脆弱性は、サンドボックス化されたJava Web StartアプリケーションとJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供することでも悪用されます。CVSS 3.0ベーススコア4.3（可用性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：L/PR：N/UI：R/S：U/C：N/I：N/A：L）。（CVE-2018-2663）invokeinterface命令の検証が不十分（Hotspot、8174962）：Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：Hotspot）。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意：この脆弱性は、クライアントとサーバーへのJavaの配置が対象です。この脆弱性は、サンドボックス化されたJava Web StartアプリケーションとJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供することでも悪用されます。CVSS 3.0ベーススコア6.5（整合性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：L/PR：N/UI：R/S：U/C：N/I：H/A：N）（CVE-2018-2582）GTKライブラリ読み込みのメモリ解放後使用（Use After Free）（AWT、8185325）：Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：AWT）。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SE、Java SE Embeddedであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやJava SE、Java SE Embeddedがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア6.1（整合性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：H/PR：N/UI：R/S：C/C：N/I：H/A：N）。（CVE-2018-2641）LDAPCertStore LDAP照会の安全性の低い処理（JNDI、8186606）：OpenJDKのJNDIコンポーネントのLDAPCertStoreクラスがLDAP照会を安全に処理できないことがわかりました。攻撃者がこの欠陥を使用して、攻撃者が制御する証明書データを取得する可能性があります。（CVE-2018-2633）キー合意の不十分な強度（JCE、8185292）：OpenJDKのJCEコンポーネントにおけるキーの合意の実装で、生成された共有秘密を適切に保護するために使用されるキーの強度が十分であることを保証できないことがわかりました。これにより、ネゴシエート済みの秘密を使用し暗号化ではなく、鍵合意を攻撃することで暗号化されたデータがさらに簡単に解読される可能性があります。（CVE-2018-2618）暗号化キーデータへの非同期のアクセス（Libraries、8172525）：OpenJDKのライブラリコンポーネントの複数の暗号化キークラスが、内部データへのアクセスを適切に同期していないことがわかりました。これにより、ゼロアウトされたキーを使用するため、マルチスレッドのJavaアプリケーションが弱い暗号化をデータに適用する可能性があります。（CVE-2018-2579）逆シリアル化における無制限のメモリ割り当て（AWT、8190289）：Java SE、Oracle Java SEのJava SE Embeddedコンポーネントの脆弱性（サブコンポーネント：AWT）。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SEやJava SE Embeddedを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性への攻撃が成功すると、Java SEやJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア4.3（可用性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：L/PR：N/UI：R/S：U/C：N/I：N/A：L）。（CVE-2018-2677）DerValueにおける制限されない割り当て（Libraries、8182387）：OpenJDKのライブラリコンポーネントが、DERでコード化された入力を読み取るときに、割り当てられるメモリの量を十分に制限できないことがわかりました。DERでコード化された攻撃者による入力を解析した場合、リモートの攻撃者がこの欠陥を使用して、Javaアプリケーションに過度のメモリを使用させる可能性があります。（CVE-2018-2603）BasicAttributesの逆シリアル化における無制限のメモリ割り当て（JNDI、8191142）：Oracle Java SEのJava SE、Java SE Embedded、JRockitコンポーネントの脆弱性（サブコンポーネント：JNDI）。容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockitを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockitの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、クライアントとサーバーへのJavaの配置が対象です。この脆弱性は、サンドボックス化されたJava Web StartアプリケーションとJavaアプレットを通じて悪用される可能性があります。また、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供することでも悪用されます。CVSS 3.0ベーススコア4.3（可用性への影響）CVSSベクトル：（CVSS：3.0/AV：N/AC：L/PR：N/UI：R/S：U/C：N/I：N/A：L）。（CVE-2018-2678）HTTP/SPNEGOでのグローバル認証情報の使用（JGSS、8186600）：OpenJDKのJGSSコンポーネントは、HTTP/SPNEGO認証を使用するとき、javax.security.auth.useSubjectCredsOnlyプロパティの値を無視し、常にグローバル認証情報を使用します。これにより、信頼できないJavaアプリケーションがグローバルな資格情報を予期せず使用する可能性があることが発見されました。（CVE-2018-2634）GSSコンテキストのメモリ解放後使用（Use After Free）（JGSS、8186212）：OpenJDKのJGSSコンポーネントが、特定の場合にネイティブGSSライブラリラッパーのGSSコンテキストを適切に処理しないことがわかりました。リモートの攻撃者がJGSSを使用してJavaアプリケーションを作成し、以前に解放されたコンテキストを使用する可能性があります。（CVE-2018-2629）DnsClientで送信元ポートランダム化が実行されない（JNDI、8182125）：OpenJDKのJNDIコンポーネントでのDNSクライアント実装で、DNSクエリを送信するときにランダムな送信元ポートが使用されないことがわかりました。これにより、リモートの攻撃者がクエリへの応答を偽装することが容易になる可能性があります。（CVE-2018-2599）

このjava-1_7_1-ibmの更新では、次の修正が提供されます：バージョンが7.1.4.20に更新されました（bsc#1082810）

  - セキュリティ修正：

  - CVE-2018-2633 CVE-2018-2637 CVE-2018-2634 CVE-2018-2582 CVE-2018-2641 CVE-2018-2618 CVE-2018-2657 CVE-2018-2603 CVE-2018-2599 CVE-2018-2602 CVE-2018-2678 CVE-2018-2677 CVE-2018-2663 CVE-2018-2588 CVE-2018-2579

  - 欠陥の修正：

  - IJ04281クラスライブラリ：apar IV96905の適用後の起動時間の増加

  - IJ03822クラスライブラリ：タイムゾーン情報をtzdata2017cに更新します

  - IJ03605 Java 仮想マシン：com.ibm.jvm.dump、trace、logのレガシーセキュリティがデフォルトで有効になっていませんでした

  - IJ03607 JITコンパイラ：すべてのプラットフォームでBigDecimalが0に変換されると、結果の文字列に余分なドットが含まれます

  - IX90185 ORB：ibmcfw.jarをバージョンO1800.01にアップグレードします

  - IJ04282 セキュリティ：管轄ポリシーファイルの場所とデフォルトの変更

  - IJ03853 セキュリティ：IBMCACプロバイダーは、SHA224をサポートしていません

  - IJ02679セキュリティ：IBMPKCS11Impl - 不良セッションが内部で割り当てられています

  - IJ02706セキュリティ：IBMPKCS11Impl Ã¢Â€Â“不良セッションが内部で割り当てられています

  - IJ03552 セキュリティ：IBMPKCS11Impl - スロット仕様属性に伴う構成ファイルの問題

  - IJ01901セキュリティ：IBMPKCS11Impl - 
    SecureRandom.setSeed()の例外

  - IJ03801 セキュリティ：同じDN証明書に伴う問題、stashに伴うiKeyman GUIエラー、JKSチェーンの問題、およびiKeymanに伴うJVM引数解析の問題

  - IJ03256 セキュリティ：javax.security.auth.Subject.toString()がNPEをスローします

  - IJ02284 JITコンパイラ：JITコンパイラでのゼロ除算

  - Java jnlpファイルをFirefoxから実行できるようにします。
    （bsc#1057460）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

java-1_8_0-openjdk用のこの更新プログラムでは、以下の問題が修正されています：

jdk8u161のセキュリティ問題の修正（icedtea 3.7.0）（bsc#1076366）：

  - CVE-2018-2579：主要なキー入力ケースを改善します

  - CVE-2018-2582：インターフェイス呼び出しを改善します

  - CVE-2018-2588：LDAPログインを改善します

  - CVE-2018-2599：DNS検索の信頼性を向上させます

  - CVE-2018-2602：使用方法に関するメッセージを改善します

  - CVE-2018-2603：PKCSの使用率を改善します

  - CVE-2018-2618：より厳密なキーの生成

  - CVE-2018-2629：形状処理の改善

  - CVE-2018-2633：LDAP検索の堅牢性を改善します

  - CVE-2018-2634：プロパティネゴシエーションを改善します

  - CVE-2018-2637：JMX支援機能を改善します

  - CVE-2018-2641：GTKの初期化を改善します

  - CVE-2018-2663：逆シリアル化ケースのリファクタリングを追加します

  - CVE-2018-2677：クライアント逆シリアル化ケースのリファクタリングを追加します

  - CVE-2018-2678：命名逆シリアル化ケースのリファクタリングを追加します

この更新はSUSEからインポートされました：SLE-12-SP1：更新プロジェクトを更新します。

このjava-1_7_1-ibmの更新では、次の問題が修正されます：バージョンが7.1.4.20に更新されました（bsc#1082810）

  - セキュリティ修正：

  - CVE-2018-2633 CVE-2018-2637 CVE-2018-2634 CVE-2018-2582 CVE-2018-2641 CVE-2018-2618 CVE-2018-2657 CVE-2018-2603 CVE-2018-2599 CVE-2018-2602 CVE-2018-2678 CVE-2018-2677 CVE-2018-2663 CVE-2018-2588 CVE-2018-2579

  - 欠陥の修正：

  - IJ04281クラスライブラリ：apar IV96905の適用後の起動時間の増加

  - IJ03822クラスライブラリ：タイムゾーン情報をtzdata2017cに更新します

  - IJ03605 Java 仮想マシン：com.ibm.jvm.dump、trace、logのレガシーセキュリティがデフォルトで有効になっていませんでした

  - IJ03607 JITコンパイラ：すべてのプラットフォームでBigDecimalが0に変換されると、結果の文字列に余分なドットが含まれます

  - IX90185 ORB：ibmcfw.jarをバージョンO1800.01にアップグレードします

  - IJ04282 セキュリティ：管轄ポリシーファイルの場所とデフォルトの変更

  - IJ03853 セキュリティ：IBMCACプロバイダーは、SHA224をサポートしていません

  - IJ02679 セキュリティ：IBMPKCS11Impl - 不良セッションが内部で割り当てられています

  - IJ02706 セキュリティ：IBMPKCS11Impl - 不良セッションが内部で割り当てられています

  - IJ03552 セキュリティ：IBMPKCS11Impl - スロット仕様属性に伴う構成ファイルの問題

  - IJ01901 セキュリティ：IBMPKCS11Impl - SecureRandom.setSeed()の例外

  - IJ03801 セキュリティ：同じDN証明書に伴う問題、stashに伴うiKeyman GUIエラー、JKSチェーンの問題、およびiKeymanに伴うJVM引数解析の問題

  - IJ03256 セキュリティ：javax.security.auth.Subject.toString()がNPEをスローします

  - IJ02284 JITコンパイラ：JITコンパイラでのゼロ除算

  - SUSEの修正：

  - Java jnlpファイルをFirefoxから実行できるようにします。
    （bsc#1057460）

  - 更新時にポリシーファイルへのシンボリックリンクを修正しました（bsc#1085018）

  - Java jnlpファイルをFirefoxから実行できるようにjpackage-java-1_7_1-ibm-webstart.desktopファイルを修正しました。（bsc#1057460、bsc#1076390）

  - java有効期限タイマーが切れたときのjavawsセグメンテーション違反を修正します。（bsc#929900）

  - IBM PMR 55931,671,760とSUSE SR 110991601735用のIBM Java更新を提供します。（bsc#966304）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

java-1.7.1-ibmの更新プログラムが、Red Hat Satellite 5.6とRed Hat Satellite 5.7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン7リリース1には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 7がバージョン7R1 SR4-FP20にアップグレードされます。セキュリティ修正プログラム：* OpenJDK：LDAPCertStoreのLDAPリファラルの不安定な処理（JNDI、8186606）（CVE-2018-2633）* OpenJDK：HTTP/SPNEGOへのグローバル資格情報の使用（JGSS、8186600）（CVE-2018-2634）* OpenJDK：SingleEntryRegistryの逆シリアル化フィルターの不適切な設定（JMX、8186998）（CVE-2018-2637）* OpenJDK：GTKライブラリのメモリ解放後使用（Use After Free）の読み込み（AWT、8185325）（CVE-2018-2641）* Oracle JDK：7u171、8u161、9.0.4で詳細不明な脆弱性を修正（JavaFX）（CVE-2018-2581）* OpenJDK：LdapLoginModuleのLDAPクエリでのユーザー名エンコーディング不足（LDAP、8178449）（CVE-2018-2588）* OpenJDK：DnsClientのソースポートランダム化の欠如（JNDI、8182125）（CVE-2018-2599）* OpenJDK：信頼できない場所からのクラスの読み込み（I18n、8182601）（CVE-2018-2602）* OpenJDK：DerValueの無制限メモリ割り当て（ライブラリ、8182387）（CVE-2018-2603）* OpenJDK：鍵合意の強度不足（JCE、8185292）（CVE-2018-2618）* OpenJDK：GSSコンテキストのメモリ解放後使用（Use After Free）（JGSS、8186212）（CVE-2018-2629）* Oracle JDK：6u181および7u171で詳細不明な脆弱性を修正（シリアル化）（CVE-2018-2657）* OpenJDK：ArrayBlockingQueue逆シリアル化の不安定な状態（ライブラリ、8189284）（CVE-2018-2663）* OpenJDK：逆シリアル化中の無制限メモリ割り当て（AWT、8190289）（CVE-2018-2677）* OpenJDK：BasicAttributes逆シリアル化の無制限メモリ割り当て（JNDI、8191142）（CVE-2018-2678）* OpenJDK：暗号化キーデータへの非同期アクセス（ライブラリ、8172525）（CVE-2018-2579）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

出典: Red Hatセキュリティアドバイザリ2018:0349:java-1.7.0-openjdkの更新がRed Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのAWTコンポーネントに欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2018-2641）* OpenJDKのJNDIコンポーネントにあるLDAPCertStoreクラスがLDAPリフェラルを安全に処理できませんでした。攻撃者がこの欠陥を使用して、攻撃者が制御する証明書データを取得する可能性があります。（CVE-2018-2633）* OpenJDKのJGSSコンポーネントは、HTTP/SPNEGO認証を使用する場合はjavax.security.auth.useSubjectCredsOnlyプロパティの値を無視し、常にグローバル認証情報を使用します。これにより、信頼できないJavaアプリケーションがグローバルな資格情報を予期せず使用する可能性があることが発見されました。（CVE-2018-2634）* OpenJDKのJMXコンポーネントが、特定の場合にSingleEntryRegistryの逆シリアル化フィルターを正しく設定できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、目的の逆シリアル化制限をバイパスする可能性があります。（CVE-2018-2637）* OpenJDKのLDAPコンポーネントが、LDAP検索クエリに特殊文字を追加するときに、ユーザー名に特殊文字を正しくコード化できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、LdapLoginModuleクラスが実行するLDAPクエリを操作する可能性があります。（CVE-2018-2588）* OpenJDKのJNDIコンポーネントでDNSクライアントを実装しても、DNSクエリを送信するときにランダムな送信元ポートが使用されないことがわかりました。これにより、リモートの攻撃者がクエリへの応答を偽装することが容易になる可能性があります。（CVE-2018-2599）* OpenJDKのI18nコンポーネントが、リソースバンドルクラスを読み込むときに、信頼できない検索パスを使用する可能性があることがわかりました。ローカルの攻撃者がこの欠陥を使用して、Javaアプリケーションに攻撃者が制御するクラスファイルを読み込ませることで別のローカルユーザーとして任意のコードを実行する可能性があります。（CVE-2018-2602）* OpenJDKのライブラリコンポーネントが、DERでコード化された入力を読み取るときに、割り当てられるメモリの量を十分に制限できないことがわかりました。DERでコード化された攻撃者による入力を解析した場合、リモートの攻撃者がこの欠陥を使用して、Javaアプリケーションに過度のメモリを使用させる可能性があります。（CVE-2018-2603）* OpenJDKのJCEコンポーネントにおけるキーの合意を実装しても、生成された共有秘密を適切に保護するために使用されるキーの強度が十分であることを保証できないことがわかりました。これにより、ネゴシエート済みの秘密を使用し暗号化ではなく、鍵合意を攻撃することで暗号化されたデータがさらに簡単に解読される可能性があります。（CVE-2018-2618）* OpenJDKのJGSSコンポーネントが、特定の場合にネイティブGSSライブラリラッパーのGSSコンテキストを適切に処理しないことがわかりました。リモートの攻撃者がJGSSを使用してJavaアプリケーションを作成し、以前に解放されたコンテキストを使用する可能性があります。（CVE-2018-2629）* OpenJDKのライブラリ、AWT、およびJNDIコンポーネントの複数のクラスが、シリアル化されたフォームからオブジェクトインスタンスを作成するときに、入力を十分に検証しないことがわかりました。特別に細工された入力があると、Javaアプリケーションで状態が矛盾したオブジェクトを作成したり、逆シリアル化されたとき過剰な量のメモリを使用する可能性があります。（CVE-2018-2663、CVE-2018-2677、CVE-2018-2678）* OpenJDKのライブラリコンポーネントの複数の暗号化キークラスが、内部データへのアクセスを適切に同期していないことがわかりました。これにより、ゼロアウトされたキーを使用するため、マルチスレッドのJavaアプリケーションが弱い暗号化をデータに適用する可能性があります。（CVE-2018-2579）

java-1.6.0-sunの更新プログラムが、Oracle Java for Red Hat Enterprise Linux 6、Oracle Java for Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Oracle Java SEバージョン6には、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットが含まれます。この更新プログラムで、Oracle Java SE 6がバージョン6 Update 181にアップグレードされます。セキュリティ修正プログラム：* この更新では、Oracle Java Runtime EnvironmentおよびOracle Javaソフトウェア開発キットにある複数の脆弱性が修正されます。これらの欠陥の詳細については、「参照」セクションにリスト表示されている、「Oracle Java SE Critical Patch Updateアドバイザリ」ページを参照してください。（CVE-2018-2579、CVE-2018-2588、CVE-2018-2599、CVE-2018-2602、CVE-2018-2603、CVE-2018-2618、CVE-2018-2629、CVE-2018-2633、CVE-2018-2637、CVE-2018-2641、CVE-2018-2657、CVE-2018-2663、CVE-2018-2677、CVE-2018-2678）

java-1.8.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのHotspotとAWTコンポーネントに複数の欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこれらの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2018-2582、CVE-2018-2641）* OpenJDKのJNDIコンポーネントにあるLDAPCertStoreクラスがLDAPリフェラルを安全に処理できませんでした。攻撃者がこの欠陥を使用して、攻撃者が制御する証明書データを取得する可能性があります。（CVE-2018-2633）* OpenJDKのJGSSコンポーネントは、HTTP/SPNEGO認証を使用する場合はjavax.security.auth.useSubjectCredsOnlyプロパティの値を無視し、常にグローバル認証情報を使用します。これにより、信頼できないJavaアプリケーションがグローバルな資格情報を予期せず使用する可能性があることが発見されました。（CVE-2018-2634）* OpenJDKのJMXコンポーネントが、特定の場合にSingleEntryRegistryの逆シリアル化フィルターを正しく設定できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、目的の逆シリアル化制限をバイパスする可能性があります。（CVE-2018-2637）* OpenJDKのLDAPコンポーネントが、LDAP検索クエリに特殊文字を追加するときに、ユーザー名に特殊文字を正しくコード化できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、LdapLoginModuleクラスが実行するLDAPクエリを操作する可能性があります。（CVE-2018-2588）* OpenJDKのJNDIコンポーネントでDNSクライアントを実装しても、DNSクエリを送信するときにランダムな送信元ポートが使用されないことがわかりました。これにより、リモートの攻撃者がクエリへの応答を偽装することが容易になる可能性があります。（CVE-2018-2599）* OpenJDKのI18nコンポーネントが、リソースバンドルクラスを読み込むときに、信頼できない検索パスを使用する可能性があることがわかりました。ローカルの攻撃者がこの欠陥を使用して、Javaアプリケーションに攻撃者が制御するクラスファイルを読み込ませることで別のローカルユーザーとして任意のコードを実行する可能性があります。（CVE-2018-2602）* OpenJDKのライブラリコンポーネントが、DERでコード化された入力を読み取るときに、割り当てられるメモリの量を十分に制限できないことがわかりました。DERでコード化された攻撃者による入力を解析した場合、リモートの攻撃者がこの欠陥を使用して、Javaアプリケーションに過度のメモリを使用させる可能性があります。（CVE-2018-2603）* OpenJDKのJCEコンポーネントにおけるキーの合意を実装しても、生成された共有秘密を適切に保護するために使用されるキーの強度が十分であることを保証できないことがわかりました。これにより、ネゴシエート済みの秘密を使用し暗号化ではなく、鍵合意を攻撃することで暗号化されたデータがさらに簡単に解読される可能性があります。（CVE-2018-2618）* OpenJDKのJGSSコンポーネントが、特定の場合にネイティブGSSライブラリラッパーのGSSコンテキストを適切に処理しないことがわかりました。リモートの攻撃者がJGSSを使用してJavaアプリケーションを作成し、以前に解放されたコンテキストを使用する可能性があります。（CVE-2018-2629）* OpenJDKのライブラリ、AWT、およびJNDIコンポーネントの複数のクラスが、シリアル化されたフォームからオブジェクトインスタンスを作成するときに、入力を十分に検証しないことがわかりました。特別に細工された入力があると、Javaアプリケーションで状態が矛盾したオブジェクトを作成したり、逆シリアル化されたとき過剰な量のメモリを使用する可能性があります。（CVE-2018-2663、CVE-2018-2677、CVE-2018-2678）* OpenJDKのライブラリコンポーネントの複数の暗号化キークラスが、内部データへのアクセスを適切に同期していないことがわかりました。これにより、ゼロアウトされたキーを使用するため、マルチスレッドのJavaアプリケーションが弱い暗号化をデータに適用する可能性があります。（CVE-2018-2579）注意：icedtea-webパッケージで提供されるWebブラウザープラグインがインストールされている場合、ユーザーが悪意のあるWebサイトにアクセスすると、Javaアプレットにより引き起こされる問題が、ユーザーとのやり取りなしに悪用される可能性があります。

The version of Oracle (formerly Sun) Java SE or Java for Business installed on the remote host is prior to 9 Update 4, 8 Update 161, 7 Update 171, or 6 Update 181. It is, therefore, affected by multiple vulnerabilities related to the following components :

 - AWT
 - Deployment
 - Hotspot
 - I18n
 - Installer
 - JCE
 - JGSS
 - JMX
 - JNDI
 - JavaFX
 - LDAP
 - Libraries
 - Serialization

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
106694	Amazon Linux AMI：java-1.8.0-openjdk（ALAS-2018-949）	Nessus	Amazon Linux Local Security Checks	2018/2/9	2019/7/10	high
107213	SUSE SLES11セキュリティ更新プログラム：java-1_7_1-ibm（SUSE-SU-2018:0630-1）	Nessus	SuSE Local Security Checks	2018/3/8	2021/1/19	high
108355	openSUSEセキュリティ更新プログラム：java-1_8_0-openjdk（openSUSE-2018-254）	Nessus	SuSE Local Security Checks	2018/3/15	2025/1/30	high
108400	SUSE SLES12セキュリティ更新プログラム：java-1_7_1-ibm（SUSE-SU-2018:0694-1）	Nessus	SuSE Local Security Checks	2018/3/16	2025/1/30	high
110405	RHEL 6：java-1.7.1-ibm（RHSA-2018:1812）	Nessus	Red Hat Local Security Checks	2018/6/8	2025/3/20	high
107014	Oracle Linux 6/7：java-1.7.0-openjdk（ELSA-2018-0349）	Nessus	Oracle Linux Local Security Checks	2018/2/27	2024/10/23	high
106256	RHEL 6/7：java-1.6.0-sun（RHSA-2018:0115）	Nessus	Red Hat Local Security Checks	2018/1/23	2025/3/20	high
106172	CentOS 6/7：java-1.8.0-openjdk（CESA-2018:0095）	Nessus	CentOS Local Security Checks	2018/1/19	2019/12/31	high
700656	Oracle Java SE 6 < Update 181 / 7 < Update 171 / 8 < Update 161 / 9 < Update 4 Multiple Vulnerabilities (January 2018 CPU)	Nessus Network Monitor	Web Clients	2019/5/2	2019/5/2	high

检测

插件搜索

high

high

high

high

high

high

high

high

high