The version of Oracle JRockit installed on the remote Windows host is R28.3.16. したがって、複数の脆弱性の影響を受けます。詳細については、アドバイザリを参照してください。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2018:0352 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    IBM Java SE バージョン 8 には、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットが含まれています。

    この更新プログラムで、IBM Java SE 8 がバージョン 8 SR5-FP10 にアップグレードされます。

    セキュリティ修正プログラム:

    * この更新は、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットの複数の脆弱性を修正します。これらの欠陥の詳細については、「参照」セクションに一覧表示されている IBM Java セキュリティ脆弱性ページを参照してください。(CVE-2018-2579、CVE-2018-2582、CVE-2018-2588、CVE-2018-2599、CVE-2018-2602、CVE-2018-2603、CVE-2018-2618、CVE-2018-2633、CVE-2018-2634、CVE-2018-2637、CVE-2018-2638、CVE-2018-2639、CVE-2018-2641、CVE-2018-2663、CVE-2018-2677、CVE-2018-2678)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

出典: Red Hatセキュリティアドバイザリ2018:0095:java-1.8.0-openjdkの更新がRed Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDKのHotspotとAWTコンポーネントに複数の欠陥が見つかりました。信頼できないJavaアプリケーションまたはアプレットがこれらの欠陥を利用して、特定のJavaサンドボックスの制限をバイパスする可能性があります。（CVE-2018-2582、CVE-2018-2641）* OpenJDKのJNDIコンポーネントにあるLDAPCertStoreクラスがLDAPリフェラルを安全に処理できませんでした。攻撃者がこの欠陥を使用して、攻撃者が制御する証明書データを取得する可能性があります。（CVE-2018-2633）* OpenJDKのJGSSコンポーネントは、HTTP/SPNEGO認証を使用する場合はjavax.security.auth.useSubjectCredsOnlyプロパティの値を無視し、常にグローバル認証情報を使用します。これにより、信頼できないJavaアプリケーションがグローバルな資格情報を予期せず使用する可能性があることが発見されました。（CVE-2018-2634）* OpenJDKのJMXコンポーネントが、特定の場合にSingleEntryRegistryの逆シリアル化フィルターを正しく設定できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、目的の逆シリアル化制限をバイパスする可能性があります。（CVE-2018-2637）* OpenJDKのLDAPコンポーネントが、LDAP検索クエリに特殊文字を追加するときに、ユーザー名に特殊文字を正しくコード化できないことがわかりました。リモートの攻撃者がこの欠陥を使用して、LdapLoginModuleクラスが実行するLDAPクエリを操作する可能性があります。（CVE-2018-2588）* OpenJDKのJNDIコンポーネントでDNSクライアントを実装しても、DNSクエリを送信するときにランダムな送信元ポートが使用されないことがわかりました。これにより、リモートの攻撃者がクエリへの応答を偽装することが容易になる可能性があります。（CVE-2018-2599）* OpenJDKのI18nコンポーネントが、リソースバンドルクラスを読み込むときに、信頼できない検索パスを使用する可能性があることがわかりました。ローカルの攻撃者がこの欠陥を使用して、Javaアプリケーションに攻撃者が制御するクラスファイルを読み込ませることで別のローカルユーザーとして任意のコードを実行する可能性があります。（CVE-2018-2602）* OpenJDKのライブラリコンポーネントが、DERでコード化された入力を読み取るときに、割り当てられるメモリの量を十分に制限できないことがわかりました。DERでコード化された攻撃者による入力を解析した場合、リモートの攻撃者がこの欠陥を使用して、Javaアプリケーションに過度のメモリを使用させる可能性があります。（CVE-2018-2603）* OpenJDKのJCEコンポーネントにおけるキーの合意を実装しても、生成された共有秘密を適切に保護するために使用されるキーの強度が十分であることを保証できないことがわかりました。これにより、ネゴシエート済みの秘密を使用し暗号化ではなく、鍵合意を攻撃することで暗号化されたデータがさらに簡単に解読される可能性があります。（CVE-2018-2618）* OpenJDKのJGSSコンポーネントが、特定の場合にネイティブGSSライブラリラッパーのGSSコンテキストを適切に処理しないことがわかりました。リモートの攻撃者がJGSSを使用してJavaアプリケーションを作成し、以前に解放されたコンテキストを使用する可能性があります。（CVE-2018-2629）* OpenJDKのライブラリ、AWT、およびJNDIコンポーネントの複数のクラスが、シリアル化されたフォームからオブジェクトインスタンスを作成するときに、入力を十分に検証しないことがわかりました。特別に細工された入力があると、Javaアプリケーションで状態が矛盾したオブジェクトを作成したり、逆シリアル化されたとき過剰な量のメモリを使用する可能性があります。（CVE-2018-2663、CVE-2018-2677、CVE-2018-2678）* OpenJDKのライブラリコンポーネントの複数の暗号化キークラスが、内部データへのアクセスを適切に同期していないことがわかりました。これにより、ゼロアウトされたキーを使用するため、マルチスレッドのJavaアプリケーションが弱い暗号化をデータに適用する可能性があります。（CVE-2018-2579）注意：icedtea-webパッケージで提供されるWebブラウザープラグインがインストールされている場合、ユーザーが悪意のあるWebサイトにアクセスすると、Javaアプレットにより引き起こされる問題が、ユーザーとのやり取りなしに悪用される可能性があります。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:0458 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    IBM Java SE バージョン 7 リリース 1 には、IBM Java Runtime Environment と IBM Java ソフトウェア開発キットが含まれています。

    この更新プログラムで、IBM Java SE 7がバージョン 7R1 SR4-FP20にアップグレードされます。

    セキュリティ修正プログラム:

    * OpenJDK: invokeinterface 命令の検証不足 (ホットスポット、8174962) (CVE-2018-2582)

    * OpenJDK: LDAPCertStore の LDAP リファラルの不安定な処理 (JNDI、8186606) (CVE-2018-2633)

    * OpenJDK: HTTP/SPNEGO へのグローバル資格情報の使用 (JGSS、8186600) (CVE-2018-2634)

    * OpenJDK: SingleEntryRegistry の逆シリアル化フィルターの不適切な設定 (JMX、8186998) (CVE-2018-2637)

    * OpenJDK: メモリ解放後使用 (Use After Free) をロードする GTK ライブラリ (AWT、8185325) (CVE-2018-2641)

    * OpenJDK: LdapLoginModule の LDAP クエリでのユーザー名エンコーディング不足 (LDAP、8178449) (CVE-2018-2588)

    * OpenJDK: DnsClient のソースポートランダム化の欠如 (JNDI、8182125) (CVE-2018-2599)

    * OpenJDK: 信頼できない場所からのクラスの読み込み (I18n、8182601) (CVE-2018-2602)

    * OpenJDK: DerValue の無制限メモリ割り当て (ライブラリ、8182387) (CVE-2018-2603)

    * OpenJDK: 鍵合意の強度不足 (JCE、8185292) (CVE-2018-2618)

    * Oracle JDK: 6u181 および 7u171 で修正された詳細不明な脆弱性 (シリアル化) (CVE-2018-2657)

    * OpenJDK: 不整合状態への ArrayBlockingQueue の逆シリアル化 (ライブラリ、8189284) (CVE-2018-2663)

    * OpenJDK: 逆シリアル化における無制限のメモリ割り当て (AWT、8190289) (CVE-2018-2677)

    * OpenJDK: BasicAttributes 逆シリアル化の無制限メモリ割り当て (JNDI、8191142) (CVE-2018-2678)

    * OpenJDK: 暗号化キーデータへの非同期のアクセス (ライブラリ、8172525) (CVE-2018-2579)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Oracle Javaプラットフォームの実装であるOpenJDKで複数の脆弱性が発見されました。これにより、サービス拒否、サンドボックスバイパス、任意コード実行、サービス拒否、LDAP/GSS認証、安全ではない暗号の使用、逆シリアル化の制限のバイパスが発生します。

リモートホストは、GLSA-201803-06（Oracle JDK/JRE：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がOracleのJava SEで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、プロセスの権限で任意のコードを実行したり、情報へのアクセス権を取得したり、サービス拒否状態を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

このjava-1_8_0-openjdkの更新では、次の問題が修正されます：
jdk8u161のセキュリティ問題の修正（icedtea 3.7.0）（bsc#1076366）：

  - CVE-2018-2579：主要なキー入力ケースを改善します

  - CVE-2018-2582：インターフェイス呼び出しを改善します

  - CVE-2018-2588：LDAPログインを改善します

  - CVE-2018-2599：DNS検索の信頼性を向上させます

  - CVE-2018-2602：使用方法に関するメッセージを改善します

  - CVE-2018-2603：PKCSの使用率を改善します

  - CVE-2018-2618：より厳密なキーの生成

  - CVE-2018-2629：形状処理の改善

  - CVE-2018-2633：LDAP検索の堅牢性を改善します

  - CVE-2018-2634：プロパティネゴシエーションを改善します

  - CVE-2018-2637：JMX支援機能を改善します

  - CVE-2018-2641：GTKの初期化を改善します

  - CVE-2018-2663：逆シリアル化ケースのリファクタリングを追加します

  - CVE-2018-2677：クライアント逆シリアル化ケースのリファクタリングを追加します

  - CVE-2018-2678：命名逆シリアル化ケースのリファクタリングを追加します

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

OpenJDKの暗号の実装に、競合状態があることがわかりました。攻撃者がこれを利用して、秘密情報を漏えいさせる可能性があります。（CVE-2018-2579）

OpenJDKのLDAP実装がログイン名を適切にエンコードしないことがわかりました。リモートの攻撃者がこれを悪用して、秘密情報を漏洩させる可能性があります。(CVE-2018-2588)

OpenJDKのDNSクライアント実装がソースポートを適切にランダム化しないことがわかりました。リモートの攻撃者がこれを利用して、Javaアプリケーションが作成したDNSクエリに対する応答を偽装する可能性があります。
(CVE-2018-2599)

OpenJDKの国際化コンポーネントは、リソースバンドルクラスを読み込むとき、検索パスを制限しないことがわかりました。ローカルの攻撃者がこれを利用して、ユーザーが悪意のあるコードを実行するよう誘導する可能性があります。(CVE-2018-2602)

DER入力を解析するとき、OpenJDKがメモリ割り当てを適切に制限しないことがわかりました。リモートの攻撃者がこれを利用して、サービス拒否を引き起こす可能性があります。(CVE-2018-2603)

OpenJDKのJava Cryptography Extension（JCE）実装が、特定の状況で、鍵の共有中に十分なキー強度を保証していないことがわかりました。攻撃者がこれを悪用して、秘密情報を漏えいさせる可能性があります。（CVE-2018-2618）

OpenJDKのJava GSS実装では、特定の状況でネイティブGSSライブラリのGSSコンテキストが適切に処理されないことがわかりました。攻撃者がこれを利用して権限のないリソースにアクセスする可能性があります。(CVE-2018-2629)

OpenJDKのLDAP実装では、特定の状況でLDAP参照を適切に処理しないことがわかりました。攻撃者がこれを利用して、秘密情報を漏えいしたり不正な権限を取得したりする可能性があります。(CVE-2018-2633)

OpenJDKのJava GSS実装では、特定の状況でサブジェクトの資格情報が適切に適用されないことがわかりました。攻撃者がこれを利用して、秘密情報を漏えいしたり、不正なリソースにアクセスしたりする可能性があります。(CVE-2018-2634)

OpenJDKのJava Management Extensions（JMX）コンポーネントでは、特定の状況で逆シリアル化フィルターを適切に適用しないことがわかりました。攻撃者がこれを利用して、逆シリアル化の制限をバイパスする可能性があります。(CVE-2018-2637)

GTKライブラリを読み込むとき、OpenJDKのAWTコンポーネントにメモリ解放後使用（use-after-free）の脆弱性があることがわかりました。攻撃者がこれを利用して、逆シリアル化の制限をバイパスする可能性があります。(CVE-2018-2641)

逆シリアル化を実行するとき、特定の状況でOpenJDKがオブジェクトを適切に検証しないことがわかりました。攻撃者がこれを利用して、サービス拒否 (アプリケーションクラッシュや過剰なメモリ消費) を引き起こす可能性があります。(CVE-2018-2663)

OpenJDKのAWTコンポーネントが、一部のオブジェクトを逆シリアル化するとき、割り当てられるメモリ量を適切に制限しないことがわかりました。攻撃者がこれを利用して、サービス拒否 (過剰なメモリ消費) を引き起こす可能性があります。(CVE-2018-2677)

OpenJDKのJNDIコンポーネントが、特定の状況でオブジェクトを逆シリアル化するとき、割り当てられるメモリ量を適切に制限しないことがわかりました。攻撃者がこれを利用して、サービス拒否 (過剰なメモリ消費) を引き起こす可能性があります。(CVE-2018-2678)。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Java SE、Java SE Embedded、Oracle Java SE の JRockit コンポーネントの脆弱性 (サブコンポーネント: 
    ライブラリ)。サポートされているバージョンで影響を受けるのは、Java SE：6u171、7u161、8u152、および 9.0.1です。 Java SE Embedded：8u151; JRockit： R28.3.16. 容易に悪用可能な脆弱性を使用して、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded、JRockit を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Java SE Embedded、JRockitの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、クライアントとサーバーへのJavaの配置が対象です。この脆弱性は、サンドボックス化された Java Web Start アプリケーションと Java アプレットを通じて悪用される可能性があります。
    また、サンドボックス化された Java Web Start アプリケーションやサンドボックス化された Java アプレット (Web サービスなど ) を使用せずに、指定されたコンポーネントの API にデータを提供することでも悪用されます。(CVE-2018-2663)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of Oracle (formerly Sun) Java SE or Java for Business installed on the remote host is prior to 9 Update 4, 8 Update 161, 7 Update 171, or 6 Update 181. It is, therefore, affected by multiple vulnerabilities related to the following components :

 - AWT
 - Deployment
 - Hotspot
 - I18n
 - Installer
 - JCE
 - JGSS
 - JMX
 - JNDI
 - JavaFX
 - LDAP
 - Libraries
 - Serialization

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
106139	Oracle JRockit R28.3.16 Multiple Vulnerabilities (January 2018 CPU)	Nessus	Windows	2018/1/18	2019/11/8	high
107019	RHEL 6：java-1.8.0-ibm（RHSA-2018:0352）	Nessus	Red Hat Local Security Checks	2018/2/27	2025/3/24	high
106119	Oracle Linux 6/7：java-1.8.0-openjdk（ELSA-2018-0095）	Nessus	Oracle Linux Local Security Checks	2018/1/18	2024/11/1	high
107207	RHEL 7：java-1.7.1-ibm（RHSA-2018:0458）	Nessus	Red Hat Local Security Checks	2018/3/8	2025/3/21	high
108421	DebianDSA-4144-1：openjdk-8 - セキュリティ更新	Nessus	Debian Local Security Checks	2018/3/19	2025/1/29	high
108432	GLSA-201803-06：Oracle JDK/JRE：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/3/19	2025/1/29	high
108510	SUSE SLED12 / SLES12セキュリティ更新プログラム：java-1_8_0-openjdk（SUSE-SU-2018:0663-1）	Nessus	SuSE Local Security Checks	2018/3/21	2024/12/19	high
108794	Ubuntu 14.04 LTS: OpenJDK 7 の脆弱性 (USN-3614-1)	Nessus	Ubuntu Local Security Checks	2018/4/3	2024/8/27	high
221890	Linux Distros のパッチ未適用の脆弱性: CVE-2018-2663	Nessus	Misc.	2025/3/4	2025/9/1	medium
700656	Oracle Java SE 6 < Update 181 / 7 < Update 171 / 8 < Update 161 / 9 < Update 4 Multiple Vulnerabilities (January 2018 CPU)	Nessus Network Monitor	Web Clients	2019/5/2	2019/5/2	high

检测

插件搜索

high

high

high

high

high

high

high

high

medium

high