此更新修复了 java-11-openjdk 中的下列问题：修复的安全问题（2019 年 10 月 CPU bsc#1154212）：CVE-2019-2933：Windows 文件处理 redux CVE-2019-2945：改进套接字支持 CVE-2019-2949：改进 Kerberos ccache 处理 CVE-2019-2958：构建了优化的流程 CVE-2019-2964：改进模式支持 CVE-2019-2962：改进字形图像 CVE-2019-2973：改进模式编译 CVE-2019-2975：jjs 中非预期的异常 CVE-2019-2978：改进 jar 文件处理 CVE-2019-2977：改进字符串索引处理 CVE-2019-2981：改进路径支持 CVE-2019-2983：改进串口属性 CVE-2019-2987：改进本机字形渲染 CVE-2019-2988：改进 Graphics2D 绘制 CVE-2019-2989：改进 TLS 连接支持 CVE-2019-2992：增强字体字形映射 CVE-2019-2999：对 Javadoc 注释的评论 CVE-2019-2894：增强 ECDSA 操作 (bsc#1152856)。请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Java SE、Oracle Java SE の Java SE Embedded 製品の脆弱性 (コンポーネント: JAXP)。サポートされているバージョンで影響を受けるのは、Java SE: 7u231、8u221、11.0.4、13、Java SE Embedded: 8u221 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embedded を侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SE および Java SE Embedded の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性が該当するのは、通常サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを (Java SE 8 で) 実行しているクライアントで、信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティについては Java サンドボックスに依存している Java デプロイメントです。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2019-2973)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

出典: Red Hatセキュリティアドバイザリ2019:3157：java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（Networking、8223892）（CVE-2019-2978 ）* OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーク、8225298）（CVE-2019-2989）* OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーク、8218573）（CVE-2019-2945）* OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）* OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）* OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）* OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）* OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）* OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）* OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）* OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）* OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分です（Javadoc、8226765）（CVE-2019-2999）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

セキュリティ修正プログラム:

  - OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（ネットワーキング、8223892）（CVE-2019-2978）

  - OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーキング、8225298）（CVE-2019-2989）

  - OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーキング、8218573）（CVE-2019-2945）

  - OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）

  - OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）

  - OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）

  - OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）

  - OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）

  - OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）

  - OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）

  - OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）

  - OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分（Javadoc、8226765）（CVE-2019-2999）

影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（Networking、8223892）（CVE-2019-2978 ）* OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーク、8225298）（CVE-2019-2989）* OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーク、8218573）（CVE-2019-2945）* OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）* OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）* OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）* OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）* OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）* OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）* OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）* OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）* OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分です（Javadoc、8226765）（CVE-2019-2999）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

Java SE、Oracle Java SEのJava SE Embedded製品の脆弱性（コンポーネント：JAXP）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13、Java SE Embedded：8u221です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2981）（CVE-2019-2973）Oracle Java SEのJava SEおよびJava SE Embedded製品の脆弱性（コンポーネント：シリアル化）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13、Java SE Embedded：8u221です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2983）Oracle Java SEのJava SEおよびJava SE Embedded製品の脆弱性（コンポーネント：2D）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13、Java SE Embedded：8u221です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2992）Oracle GraalVMのOracle GraalVM Enterprise Edition製品の脆弱性（component:Java）。サポートされているバージョンで影響を受けるのは19.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle GraalVM Enterprise Editionを侵害する可能性があります。脆弱性があるのはOracle GraalVM Enterprise Editionですが、攻撃により別の製品にも重大な影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやOracle GraalVM Enterprise Editionがアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。CVSS 3.0ベーススコア6.8（整合性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:N）。（CVE-2019-2989）Oracle Java SEのJava SEおよびJava SE Embedded製品の脆弱性（コンポーネント：ネットワーキング）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13、Java SE Embedded：8u221です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア3.1（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L）。（CVE-2019-2945）Oracle Java SEのJava SE、Java SE Embeddedコンポーネントの脆弱性（コンポーネント：2D）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13、Java SE Embedded：8u221です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2962）Oracle Java SEのJava SEおよびJava SE Embedded製品の脆弱性（コンポーネント：2D）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13、Java SE Embedded：8u221です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2988）Oracle Java SEのJava SE製品の脆弱性（コンポーネント：2D）。サポートされているバージョンで影響を受けるのは、Java SE：11.0.4および13です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SEの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2987）Oracle Java SEのJava SEおよびJava SE Embedded製品の脆弱性（コンポーネント：同時性）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13、Java SE Embedded：8u221です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレット（Webサービスなど）を使用せずに、指定されたコンポーネントのAPIにデータを提供するだけで悪用される可能性があります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2019-2964）Oracle Java SEのJava SEおよびJava SE Embedded製品の脆弱性（コンポーネント：Javadoc）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SEを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要であり、脆弱性が存在するのはJava SEであるものの、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、権限なしでJava SEがアクセスできる一部のデータにアクセスして更新、挿入、削除されたり、さらにJava SEがアクセスできるデータのサブセットに権限なしでアクセスされ読み取られたりする可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.0ベーススコア4.7（機密性と整合性への影響）CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N）。（CVE-2019-2999）Oracle Java SEのJava SEおよびJava SE Embedded製品の脆弱性（コンポーネント：ネットワーキング）。サポートされているバージョンで影響を受けるのは、Java SE：7u231、8u221、11.0.4、13、Java SE Embedded：8u221です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Java SE、Java SE Embeddedを侵害する可能性があります。この脆弱性への攻撃が成功すると、Java SEおよびJava SE Embeddedの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注意：この脆弱性が該当するのは、通常サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを（Java SE 8で）実行しているクライアントで、信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存しているJavaデプロイメントです。この脆弱性は、たとえばAPIにデータを提供するWebサービスを通して、指定されたコンポーネント内のAPIを使用することによって悪用される可能性もあります。CVSS 3.0ベーススコア3.7（可用性に影響）。CVSSベクトル：（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L）（CVE-2019-2978）

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2019:3128 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenJDK: カスタム SocketImpl の使用に関する制限がない (ネットワーキング、8218573) (CVE-2019-2945)

  - OpenJDK: Kerberos プロキシ資格情報の不適切な処理 (Kerberos、8220302) (CVE-2019-2949)

  - OpenJDK: DrawGlyphList における NULL ポインターデリファレンス (2D、8222690) (CVE-2019-2962)

  - OpenJDK: 細工された正規表現を処理するパターンによりスローされる予期しない例外 (同時実行性、8222684) (CVE-2019-2964)

  - OpenJDK: 細工された XPath 式を処理する XPathParser によりスローされる予期しない例外 (JAXP、8223505) (CVE-2019-2973)

  - OpenJDK: Nashornでの正規表現処理中にスローされる予期しない例外 (スクリプティング、8223518) (CVE-2019-2975)

  - OpenJDK: ネスト化された jar の不適切な処理: Jar URL ハンドラーの URL (ネットワーキング、8223892) (CVE-2019-2978)

  - OpenJDK: 細工された XPath 式を処理する XPath によりスローされる予期しない例外 (JAXP、8224532) (CVE-2019-2981)

  - OpenJDK: Font オブジェクトの逆シリアル化中にスローされる予期しない例外 (シリアル化、8224915) (CVE-2019-2983)

  - OpenJDK: FreetypeFontScaler における glyph ビットマップイメージの次元チェックがありません (2D、8225286) (CVE-2019-2987)

  - OpenJDK: SunGraphics2D における境界チェックの整数オーバーフロー (2D、8225292) (CVE-2019-2988)

  - OpenJDK: HttpURLConnection における HTTP プロキシ応答の不適切な処理 (ネットワーキング、8225298) (CVE-2019-2989)

  - OpenJDK: TrueType フォント読み取り時の CMap における過剰なメモリ割り当て (2D、8225597) (CVE-2019-2992)

  - OpenJDK: Javadoc の HTML イベント属性のフィルタリングが不十分 (Javadoc、8226765) (CVE-2019-2999)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

セキュリティ修正プログラム:

  - OpenJDK：Kerberosプロキシ資格情報の不適切な処理（Kerberos、8220302）（CVE-2019-2949）

  - OpenJDK：Nashornでの正規表現処理中にスローされる予期しない例外（スクリプティング、8223518）（CVE-2019-2975）

  - OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（ネットワーキング、8223892）（CVE-2019-2978）

  - OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーキング、8225298）（CVE-2019-2989）

  - OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーキング、8218573）（CVE-2019-2945）

  - OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）

  - OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）

  - OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）

  - OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）

  - OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）

  - OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）

  - OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）

  - OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）

  - OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分（Javadoc、8226765）（CVE-2019-2999）

このjava-11-openjdkのバージョンjdk-11.0.5-10への更新では、次の問題を修正します：

修正されたセキュリティ問題（October 2019 CPU bsc#1154212）：

CVE-2019-2933：reduxを処理するWindowsファイル

CVE-2019-2945：ソケットサポートを改善します

CVE-2019-2949：Kerberos ccache処理を改善します

CVE-2019-2958：より優れたプロセスを構築します

CVE-2019-2964：パターンのサポートを改善します

CVE-2019-2962：Glyph画像を改善します

CVE-2019-2973：より良いパターンコンパイル

CVE-2019-2975：jjsの予期しない例外

CVE-2019-2978：jarファイルの処理を改善しました

CVE-2019-2977：文字列処理を改善します

CVE-2019-2981：Better Pathのサポート

CVE-2019-2983：シリアル属性を改善します

CVE-2019-2987：ネイティブグリフのレンダリングを改善

CVE-2019-2988：Graphics2D描画を改善

CVE-2019-2989：TLS接続サポートを向上させます

CVE-2019-2992：フォントグリフマッピングを強化します

CVE-2019-2999：Javadocコメントに対する注釈

CVE-2019-2894：ECDSA操作を強化します（bsc#1152856）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

java-1.8.0-ibmの更新プログラムが、Red Hat Enterprise Linux 7 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を中程度と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。IBM Java SEバージョン8には、IBM Java Runtime EnvironmentとIBM Javaソフトウェア開発キットが含まれています。この更新プログラムで、IBM Java SE 8がバージョン8 SR6にアップグレードされます。セキュリティ修正プログラム：* OpenJDK：Nashornでの正規表現処理中にスローされる予期しない例外（スクリプティング、8223518）（CVE-2019-2975 ）* OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（Networking、8223892）（CVE-2019-2978 ）* OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーク、8225298）（CVE-2019-2989）* Oracle JDK：8u221における詳細不明な脆弱性の修正（Deployment）（CVE-2019-2996）* IBM JDK：診断オペレーションに対する無制限アクセス（CVE-2019-17631）* OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーク、8218573）（CVE-2019-2945）* OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）* OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）* OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）* OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）* OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）* OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）* OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）* OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分です（Javadoc、8226765）（CVE-2019-2999）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

java-1.8.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.8.0-openjdkパッケージには、OpenJDK 8 Java Runtime EnvironmentおよびOpenJDK 8 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：Kerberosプロキシ資格情報の不適切な処理（Kerberos、8220302）（CVE-2019-2949）* OpenJDK：Nashornでの正規表現処理中にスローされる予期しない例外（スクリプティング、8223518）（CVE-2019-2975 ）* OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（Networking、8223892）（CVE-2019-2978 ）* OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーク、8225298）（CVE-2019-2989）* OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーク、8218573）（CVE-2019-2945）* OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）* OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）* OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）* OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）* OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）* OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）* OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）* OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）* OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分です（Javadoc、8226765）（CVE-2019-2999）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

リモートホストにインストールされている Amazon Corretto のバージョンは、11 < 11.0.5.10.1より前です。したがって、corretto-11-2019-Oct-15 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - security-libs/javax.net.ssl (CVE-2019-2894, CVE-2019-2949)

  - core-libs (CVE-2019-2933)

  - core-libs/java.net (CVE-2019-2945, CVE-2019-2978, CVE-2019-2989)

  - core-libs/java.lang (CVE-2019-2958)

  - client-libs/2d (CVE-2019-2962, CVE-2019-2983, CVE-2019-2987, CVE-2019-2988, CVE-2019-2992)

  - core-libs/java.util.regex (CVE-2019-2964)

  - xml/jaxp (CVE-2019-2973, CVE-2019-2981)

  - core-libs/javax.script (CVE-2019-2975)

  - hotspot/compiler (CVE-2019-2977)

  - tools/javadoc (CVE-2019-2999)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このjava-11-openjdkの更新では、次の問題を修正します：

修正されたセキュリティ問題（October 2019 CPU bsc#1154212）：

CVE-2019-2933：reduxを処理するWindowsファイル

CVE-2019-2945：ソケットサポートを改善します

CVE-2019-2949：Kerberos ccache処理を改善します

CVE-2019-2958：より優れたプロセスを構築します

CVE-2019-2964：パターンのサポートを改善します

CVE-2019-2962：Glyph画像を改善します

CVE-2019-2973：より良いパターンコンパイル

CVE-2019-2975：jjsの予期しない例外

CVE-2019-2978：jarファイルの処理を改善しました

CVE-2019-2977：文字列処理を改善します

CVE-2019-2981：Better Pathのサポート

CVE-2019-2983：シリアル属性を改善します

CVE-2019-2987：ネイティブグリフのレンダリングを改善

CVE-2019-2988：Graphics2D描画を改善

CVE-2019-2989：TLS接続サポートを向上させます

CVE-2019-2992：フォントグリフマッピングを強化します

CVE-2019-2999：Javadocコメントに対する注釈

CVE-2019-2894：ECDSA操作を強化します（bsc#1152856）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートホストにインストールされている AOS のバージョンは、7.0.1 より前です。したがって、NXSA-AOS-7.0.1アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.0.6 までの bzip2 の decompress.c の BZ2_decompress に、セレクターが多い場合の領域外書き込みがあります。（CVE-2019-12900）

  - PAM に脆弱性が見つかりました。秘密情報はメモリに保存され、攻撃者は標準入力 (stdin) に文字を送信することで被害者プログラムを実行させる可能性があります。この際、攻撃者は分岐予測子をトレーニングして、ROP チェーンを投機的に実行することができます。この欠陥により、認証の実行中に /etc/shadow で見つかったパスワードなどのパスワードが漏洩する可能性があります。(CVE-2024-10041)

  - pam_access に欠陥が見つかりました。設定ファイルの特定のルールが誤ってホスト名として扱われます。この脆弱性により、攻撃者は信頼できるホスト名になりすますことでシステムを騙し、認証されていないアクセス権を取得することが可能です。この問題は、特定のサービスやターミナルにアクセスできるユーザーを制御するためにこの機能に依存するシステムにリスクをもたらします。(CVE-2024-10963)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21131)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21138)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、6.10.1 より前です。したがって、NXSA-AOS-6.10.1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.6.3 以前の libexpat で問題が発見されました。xmlparse.c の nextScaffoldPart では、32 ビット プラットフォーム (UINT_MAX が SIZE_MAX) で m_groupSize の整数オーバーフローが発生する可能性があります。(CVE-2024-45492)

  - 1.0.6 までの bzip2 の decompress.c の BZ2_decompress に、セレクターが多い場合の領域外書き込みがあります。（CVE-2019-12900）

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21131)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21138)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、削除アクセス、また、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition のアクセス可能なデータのサブセットへの不正な読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21140)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
131545	SUSE SLES12 安全更新：java-11-openjdk (SUSE-SU-2019:3083-1)	Nessus	SuSE Local Security Checks	2019/12/3	2022/5/18	medium
252146	Linux Distros のパッチ未適用の脆弱性: CVE-2019-2973	Nessus	Misc.	2025/8/19	2025/8/19	low
130138	Oracle Linux 7：java-1.7.0-openjdk（ELSA-2019-3157）	Nessus	Oracle Linux Local Security Checks	2019/10/22	2024/10/22	medium
130157	Scientific Linux セキュリティ更新: SL7.x x86_64のjava-1.7.0-openjdk（20191022）	Nessus	Scientific Linux Local Security Checks	2019/10/23	2020/2/24	medium
130180	CentOS 7：java-1.7.0-openjdk（CESA-2019:3157）	Nessus	CentOS Local Security Checks	2019/10/24	2019/12/18	medium
132260	Amazon Linux 2：java-1.7.0-openjdk（ALAS-2019-1372）	Nessus	Amazon Linux Local Security Checks	2019/12/19	2019/12/23	medium
129994	RHEL 7 : java-1.8.0-openjdk (RHSA-2019:3128)	Nessus	Red Hat Local Security Checks	2019/10/17	2024/11/7	medium
130048	Scientific Linux セキュリティ更新: SL7.x x86_64のjava-1.8.0-openjdk（20191016）	Nessus	Scientific Linux Local Security Checks	2019/10/18	2024/4/17	medium
131160	SUSE SLED15 / SLES15セキュリティ更新プログラム：java-11-openjdk (SUSE-SU-2019:2998-1)	Nessus	SuSE Local Security Checks	2019/11/20	2022/5/18	medium
134680	Amazon Linux AMI：java-1.7.0-openjdk（ALAS-2020-1354）	Nessus	Amazon Linux Local Security Checks	2020/3/19	2024/12/11	high
131921	RHEL 7：java-1.8.0-ibm（RHSA-2019:4115）	Nessus	Red Hat Local Security Checks	2019/12/10	2024/11/8	critical
130041	RHEL 8：java-1.8.0-openjdk（RHSA-2019:3134）	Nessus	Red Hat Local Security Checks	2019/10/18	2024/11/6	medium
159435	Amazon Corretto Java 11.x< 11.0.5.10.1複数の脆弱性	Nessus	Misc.	2022/4/1	2022/5/6	medium
131545	SUSE SLES12セキュリティ更新プログラム：java-11-openjdk (SUSE-SU-2019:3083-1)	Nessus	SuSE Local Security Checks	2019/12/3	2022/5/18	medium
242588	Nutanix AOS 複数の脆弱性NXSA-AOS-7.0.1	Nessus	Misc.	2025/7/22	2025/7/22	critical
215141	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-6.10.1)	Nessus	Misc.	2025/2/7	2025/7/22	critical

检测

插件搜索

medium

low

medium

medium

medium

medium

medium

medium

medium

high

critical

medium

medium

medium

critical

critical