The remote SUSE Linux SLES12 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:4252-1 advisory.

    Updated to Java 8.0 Service Refresh 8 Fix Pack 35 with Oracle October 15 2024 CPU (bsc#1232064):
    - CVE-2024-21208: Fixed partial DoS in component Networking (bsc#1231702,JDK-8328286)
    - CVE-2024-21210: Fixed unauthorized update, insert or delete access to some of Oracle Java SE accessible     data in component Hotspot (bsc#1231711,JDK-8328544)
    - CVE-2024-21217: Fixed partial DoS in component Serialization (bsc#1231716,JDK-8331446)
    - CVE-2024-21235: Fixed unauthorized read/write access to data in component Hotspot     (bsc#1231719,JDK-8332644)

    Other issues fixed in past releases:
    - CVE-2024-3933: Fixed evaluate constant byteLenNode of arrayCopyChild (bsc#1225470)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:4306-1 advisory.

    Updated to Java 8.0 Service Refresh 8 Fix Pack 35 with Oracle October 15 2024 CPU (bsc#1232064):
    - CVE-2024-21208: Fixed partial DoS in component Networking (bsc#1231702,JDK-8328286)
    - CVE-2024-21210: Fixed unauthorized update, insert or delete access to some of Oracle Java SE accessible     data in component Hotspot (bsc#1231711,JDK-8328544)
    - CVE-2024-21217: Fixed partial DoS in component Serialization (bsc#1231716,JDK-8331446)
    - CVE-2024-21235: Fixed unauthorized read/write access to data in component Hotspot     (bsc#1231719,JDK-8332644)

    Other issues fixed in past releases:
      - CVE-2024-3933: Fixed evaluate constant byteLenNode of arrayCopyChild (bsc#1225470)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:4306-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Oracle 2024 年 10 月 15 日 CPU により Java 8.0 Service Refresh 8 Fix Pack 35 へ更新 (bsc#1232064):
    - CVE-2024-21208: コンポーネント Networking (bsc#1231702、JDK-8328286) での部分的な DoS を修正しました
    - CVE-2024-21210: コンポーネントホットスポットの一部の Oracle Java SE がアクセスできるデータへの認証されていない更新、挿入、削除アクセスを修正しました (bsc#1231711、JDK-8328544)
    - CVE-2024-21217: コンポーネント Serialization での部分的な DoS を修正しました (bsc#1231716、JDK-8331446)
    - CVE-2024-21235: コンポーネント Hotspot のデータへの認証されていない読み取り/書き込みアクセスを修正しました (bsc#1231719、JDK-8332644)

    過去のリリースで修正されたその他の問題:
      - CVE-2024-3933: arrayCopyChild の定数 byteLenNode の評価を修正しました (bsc#1225470)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 ホストには、SUSE-SU-2024:4252-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Oracle 2024 年 10 月 15 日 CPU により Java 8.0 Service Refresh 8 Fix Pack 35 へ更新 (bsc#1232064):
    - CVE-2024-21208: コンポーネント Networking (bsc#1231702、JDK-8328286) での部分的な DoS を修正しました
    - CVE-2024-21210: コンポーネントホットスポットの一部の Oracle Java SE がアクセスできるデータへの認証されていない更新、挿入、削除アクセスを修正しました (bsc#1231711、JDK-8328544)
    - CVE-2024-21217: コンポーネント Serialization での部分的な DoS を修正しました (bsc#1231716、JDK-8331446)
    - CVE-2024-21235: コンポーネント Hotspot のデータへの認証されていない読み取り/書き込みアクセスを修正しました (bsc#1231719、JDK-8332644)

    過去のリリースで修正されたその他の問題:
    - CVE-2024-3933: arrayCopyChild の定数 byteLenNode の評価を修正しました (bsc#1225470)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of IBM Java installed on the remote host is prior to 7.1 < 7.1.5.22 / 8.0 < 8.0.8.25. It is, therefore, affected by multiple vulnerabilities as referenced in the IBM Security Update May 2024 advisory.

  - The IBM SDK, Java Technology Edition's Object Request Broker (ORB) 7.1.0.0 through 7.1.5.21 and 8.0.0.0     through 8.0.8.21 is vulnerable to a denial of service attack in some circumstances due to improper     enforcement of the JEP 290 MaxRef and MaxDepth deserialization filters. IBM X-Force ID: 260578.
    (CVE-2023-38264)

  - In Eclipse OpenJ9 release versions prior to 0.44.0 and after 0.13.0, when running with JVM option
    -Xgc:concurrentScavenge, the sequence generated for System.arrayCopy on the IBM Z platform with hardware     and software support for guarded storage [1], could allow access to a buffer with an incorrect length     value when executing an arraycopy sequence while the Concurrent Scavenge Garbage Collection cycle is     active and the source and destination memory regions for arraycopy overlap. This allows read and write to     addresses beyond the end of the array range. (CVE-2024-3933)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of IBM WebSphere eXtreme Scale installed on the remote host is prior to 8.6.1.6. It is, therefore, affected by multiple vulnerabilities as referenced in the 7166876 advisory.

  - In Eclipse OpenJ9 release versions prior to 0.44.0 and after 0.13.0, when running with JVM option
    -Xgc:concurrentScavenge, the sequence generated for System.arrayCopy on the IBM Z platform with hardware     and software support for guarded storage [1], could allow access to a buffer with an incorrect length     value when executing an arraycopy sequence while the Concurrent Scavenge Garbage Collection cycle is     active and the source and destination memory regions for arraycopy overlap. This allows read and write to     addresses beyond the end of the array range. (CVE-2024-3933)

  - Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of     Oracle Java SE (component: Hotspot). Supported versions that are affected are Oracle Java SE: 8u401,     8u401-perf, 11.0.22, 17.0.10, 21.0.2, 22; Oracle GraalVM for JDK: 17.0.10, 21.0.2, 22; Oracle GraalVM     Enterprise Edition: 20.3.13 and 21.3.9. Difficult to exploit vulnerability allows unauthenticated attacker     with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle     GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized update,     insert or delete access to some of Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise     Edition accessible data. Note: This vulnerability can be exploited by using APIs in the specified     Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to     Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java     applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java     sandbox for security. (CVE-2024-21094)

  - Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE     (component: Concurrency). Supported versions that are affected are Oracle Java SE: 8u401, 8u401-perf,     11.0.22; Oracle GraalVM Enterprise Edition: 20.3.13 and 21.3.9. Difficult to exploit vulnerability allows     unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle     GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized ability to     cause a partial denial of service (partial DOS) of Oracle Java SE, Oracle GraalVM Enterprise Edition.
    Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web     service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in     clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run     untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security.
    (CVE-2024-21085)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端主機上安裝的 IBM WebSphere eXtreme Scale 版本低於 8.6.1.6。因此，會受到 7166876 公告中所提及的多個弱點影響。

  - 在 0.44.0 之前和 0.13.0 之後的 Eclipse OpenJ9 發行版本中，執行 JVM 選項
    Xgc:concurrentScavenge (在可為受保護的儲存提供硬體和軟體支援的 IBM Z 平台上，為 System.arrayCopy 產生的序列 [1]) 時，若 Concurrent Scavenge Garbage Collection 週期處於作用中且 arraycopy 的來源和目的地記憶體區域重疊，則允許在執行 arraycopy 時存取長度值不正確的緩衝區。這會允許讀取和寫入超出陣列範圍結尾的位址。(CVE-2024-3933)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Hotspot)。受影響的支援版本是 Oracle Java SE：8u401、8u401-perf、11.0.22、17.0.10、21.0.2、22；Oracle GraalVM for JDK：17.0.10、21.0.2、22；Oracle GraalVM Enterprise Edition：20.3.13 和 21.3.9。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下更新、插入或刪除 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的部分可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2024-21094)

  - Oracle Java SE 的 Oracle Java SE 和 Oracle GraalVM Enterprise Edition 產品中的弱點 (元件：Concurrency)。受影響的支援版本是 Oracle Java SE：8u401、8u401-perf、11.0.22；Oracle GraalVM Enterprise Edition：20.3.13 和 21.3.9。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM 企業版。若成功攻擊此弱點，則可能導致在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM 企業版部分拒絕服務 (部分 DOS)。
    注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼) 並且依賴 Java 沙箱獲得安全性的 Java 部署，這通常是在於沙箱中執行的 Java Web Start 應用程式或於沙箱中執行的 Java Applet 用戶端中。
    (CVE-2024-21085)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 IBM Java 版本為 7.1 < 7.1.5.22 / 8.0 < 8.0.8.25。因此，其會受到 2024 年 5 月 IBM 安全性更新公告中提及的多個弱點影響。

  - IBM SDK、Java Technology Edition 的 Object Request Broker (ORB) (7.1.0.0 至 7.1.5.21 和 8.0.0.0 至 8.0.8.21 版本) 在某些情況下容易遭受拒絕服務攻擊，因強制執行 JEP 290 MaxRef 和 MaxDepth 還原序列化篩選器不當所致。IBM X-Force ID：260578。
    (CVE-2023-38264)

  - 在 0.44.0 之前和 0.13.0 之後的 Eclipse OpenJ9 發行版本中，執行 JVM 選項
    Xgc:concurrentScavenge (在可為受保護的儲存提供硬體和軟體支援的 IBM Z 平台上，為 System.arrayCopy 產生的序列 [1]) 時，若 Concurrent Scavenge Garbage Collection 週期處於作用中且 arraycopy 的來源和目的地記憶體區域重疊，則允許在執行 arraycopy 時存取長度值不正確的緩衝區。這會允許讀取和寫入超出陣列範圍結尾的位址。(CVE-2024-3933)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2025:0066-1 advisory.

    - Update to OpenJDK 11.0.26 with OpenJ9 0.49.0 virtual machine
    - Including Oracle October 2024 and January 2025 CPU changes
      * CVE-2024-21208 (boo#1231702), CVE-2024-21210 (boo#1231711),         CVE-2024-21217 (boo#1231716), CVE-2024-21235 (boo#1231719),         CVE-2025-21502 (boo#1236278)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.49/

    - Update to OpenJDK 11.0.24 with OpenJ9 0.46.0 virtual machine
    - Including Oracle July 2024 CPU changes
      * CVE-2024-21131 (boo#1228046), CVE-2024-21138 (boo#1228047),         CVE-2024-21140 (boo#1228048), CVE-2024-21144 (boo#1228050),         CVE-2024-21147 (boo#1228052), CVE-2024-21145 (boo#1228051)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.46/

    - Update to OpenJDK 11.0.23 with OpenJ9 0.44.0 virtual machine
    - Including Oracle April 2024 CPU changes
      * CVE-2024-21012 (boo#1222987), CVE-2024-21094 (boo#1222986),         CVE-2024-21011 (boo#1222979), CVE-2024-21085 (boo#1222984),         CVE-2024-21068 (boo#1222983)
    - Including OpenJ9/OMR specific fix:
      * CVE-2024-3933 (boo#1225470)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.44/

    - Update to OpenJDK 11.0.22 with OpenJ9 0.43.0 virtual machine
    - Including Oracle January 2024 CPU changes
      * CVE-2024-20918 (boo#1218907), CVE-2024-20919 (boo#1218903),         CVE-2024-20921 (boo#1218905), CVE-2024-20926 (boo#1218906),         CVE-2024-20945 (boo#1218909), CVE-2024-20952 (boo#1218911)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.43/
    - Remove the possibility to put back removes JavaEE modules, since       our Java stack does not need this hack any more

    - Update to OpenJDK 11.0.21 with OpenJ9 0.41.0 virtual machine
    - Including Oracle October 2023 CPU changes
      * CVE-2023-22081, boo#1216374
    - Including Openj9 0.41.0 fixes of CVE-2023-5676, boo#1217214
      * For other OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.41

    - Update to OpenJDK 11.0.20.1 with OpenJ9 0.40.0 virtual machine
      * JDK-8313765: Invalid CEN header (invalid zip64 extra data         field size)

    - Update to OpenJDK 11.0.20 with OpenJ9 0.40.0 virtual machine
    - Including Oracle April 2023 CPU changes
      * CVE-2023-22006 (boo#1213473), CVE-2023-22036 (boo#1213474),         CVE-2023-22041 (boo#1213475), CVE-2023-22045 (boo#1213481),         CVE-2023-22049 (boo#1213482), CVE-2023-25193 (boo#1207922)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.40

    - Update to OpenJDK 11.0.19 with OpenJ9 0.38.0 virtual machine
    - Including Oracle April 2023 CPU changes
      * CVE-2023-21930 (boo#1210628), CVE-2023-21937 (boo#1210631),         CVE-2023-21938 (boo#1210632), CVE-2023-21939 (boo#1210634),         CVE-2023-21954 (boo#1210635), CVE-2023-21967 (boo#1210636),         CVE-2023-21968 (boo#1210637)
      * OpenJ9 specific vulnerability: CVE-2023-2597 (boo#1211615)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.38

    - Update to OpenJDK 11.0.18 with OpenJ9 0.36.1 virtual machine
      * Including Oracle January 2023 CPU changes
        - CVE-2023-21835, boo#1207246
        - CVE-2023-21843, boo#1207248
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.36

    - Update to OpenJDK 11.0.17 with OpenJ9 0.35.0 virtual machine
      * Including Oracle October 2022 CPU changes         CVE-2022-21618 (boo#1204468), CVE-2022-21619 (boo#1204473),         CVE-2022-21626 (boo#1204471), CVE-2022-21624 (boo#1204475),         CVE-2022-21628 (boo#1204472), CVE-2022-39399 (boo#1204480)
      * Fixes OpenJ9 vulnerability boo#1204703, CVE-2022-3676
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.35

    - Update to OpenJDK 11.0.16 with OpenJ9 0.33.0 virtual machine
      * Including Oracle July 2022 CPU changes         CVE-2022-21540 (boo#1201694), CVE-2022-21541 (boo#1201692),         CVE-2022-34169 (boo#1201684)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.33

    - Update to OpenJDK 11.0.15 with OpenJ9 0.32.0 virtual machine
      * Fixes boo#1198935, CVE-2021-41041: unverified methods can be         invoked using MethodHandles
      * Including Oracle April 2022 CPU fixes         CVE-2022-21426 (boo#1198672), CVE-2022-21434 (boo#1198674),         CVE-2022-21443 (boo#1198675), CVE-2022-21476 (boo#1198671),         CVE-2022-21496 (boo#1198673)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.32

    - Update to OpenJDK 11.0.14.1 with OpenJ9 0.30.1 virtual machine
      * including Oracle January 2022 CPU changes (boo#1194925,         boo#1194926, boo#1194927, boo#1194928, boo#1194929, boo#1194930,         boo#1194931, boo#1194932, boo#1194933, boo#1194934, boo#1194935,         boo#1194937, boo#1194939, boo#1194940, boo#1194941)
      * OpenJ9 changes see         https://www.eclipse.org/openj9/docs/version0.30.1

    - Update to OpenJDK 11.0.13 with OpenJ9 0.29.0 virtual machine
      * including Oracle July 2021 and October 2021 CPU changes         (boo#1188564, boo#1188565, boo#1188566, boo#1191901,         boo#1191909, boo#1191910, boo#1191911, boo#1191912,         boo#1191913, boo#1191903, boo#1191904, boo#1191914,         boo#1191906)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.29

    - Update to OpenJDK 11.0.11 with OpenJ9 0.26.0 virtual machine
      * including Oracle April 2021 CPU changes (boo#1185055 and         boo#1185056)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.26

    - Update to OpenJDK 11.0.10 with OpenJ9 0.24.0 virtual machine
      * including Oracle January 2021 CPU changes (boo#1181239)
      * OpenJ9 changes, see         https://www.eclipse.org/openj9/docs/version0.24

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程主机上安装的 IBM Java 版本为 7.1 < 7.1.5.22/8.0 < 8.0.8.25。因此，它受到 2024 年 5 月 IBM 安全更新公告中提及的多个漏洞影响。

  - IBM SDK、Java Technology Edition 的对象请求代理 (ORB)（7.1.0.0 至 7.1.5.21 和 8.0.0.0 至 8.0.8.21 版本）在某些情况下容易遭受拒绝服务攻击，因强制执行 JEP 290 MaxRef 和 MaxDepth 反序列化筛选器不当所致。IBM X-Force ID：260578。
    (CVE-2023-38264)

  - 在低于 0.44.0 和 0.13.0 之后的 Eclipse OpenJ9 发行版本中，运行 JVM 选项
    -Xgc:concurrentScavenge（在可为受保护的存储提供硬件和软件支持的 IBM Z 平台上，为 System.arrayCopy 生成的序列 [1]）时，如果 Concurrent Scavenge Garbage Collection 周期已激活且 arraycopy 的源和目标内存区域重叠，则允许在执行 arraycopy 序列时访问长度值不正确的缓冲区。这允许对数组范围结尾之外的地址进行读取和写入。(CVE-2024-3933)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 IBM WebSphere eXtreme Scale 版本低于 8.6.1.6。因此，它受到 7166876 公告中提及的多个漏洞影响。

  - 在低于 0.44.0 和 0.13.0 之后的 Eclipse OpenJ9 发行版本中，运行 JVM 选项
    -Xgc:concurrentScavenge（在可为受保护的存储提供硬件和软件支持的 IBM Z 平台上，为 System.arrayCopy 生成的序列 [1]）时，如果 Concurrent Scavenge Garbage Collection 周期已激活且 arraycopy 的源和目标内存区域重叠，则允许在执行 arraycopy 序列时访问长度值不正确的缓冲区。这允许对数组范围结尾之外的地址进行读取和写入。(CVE-2024-3933)

  - Oracle Java SE 的 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 产品中存在漏洞（组件：Hotspot）。支持的版本中受影响的是 Oracle Java SE：8u401、8u401-perf、11.0.22、17.0.10、21.0.2、22；Oracle GraalVM for JDK：17.0.10、21.0.2、22；Oracle GraalVM Enterprise Edition：20.3.13 和 21.3.9。攻击此漏洞的难度较大，通过多种协议访问网络的未经身份验证的攻击者可以利用此漏洞破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下更新、插入或删除 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 的部分可访问数据。注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。(CVE-2024-21094)

  - Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞（组件：Concurrency）。支持的版本中受影响的是 Oracle Java SE：8u401、8u401-perf、11.0.22；Oracle GraalVM Enterprise Edition：20.3.13 和 21.3.9。此漏洞较难受到攻击，其允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。成功攻击此漏洞可能导致未经授权即可造成 Oracle Java SE 和 Oracle GraalVM Enterprise Edition 部分拒绝服务（部分 DOS）。
    注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。
    (CVE-2024-21085)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている IBM Java のバージョンは、7.1 < 7.1.5.22 / 8.0 < 8.0.8.25 より前です。したがって、IBM Security Update 2024 年 5 月のアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - IBM SDK、Java Technology Edition の Object Request Broker (ORB) 7.1.0.0 から 7.1.5.21 および 8.0.0.0 から 8.0.8.21 は、JEP 290 MaxRef と MaxDepth の逆シリアル化フィルターが不適切に強制されているため、特定の状況でサービス拒否攻撃に脆弱です。IBM X-Force ID: 260578。
    (CVE-2023-38264)

  - Eclipse OpenJ9 リリースバージョン 0.44.0 より前および 0.13.0 より後では、JVM オプションで実行する場合
    - Xgc:concurrentScavenge は、保護されたストレージ [1] のハードウェアとソフトウェアサポートを備えた IBM Z プラットフォームの System.arrayCopy に対して生成されたシーケンスです。これにより、Concurrent Scavenge のガベージがコレクションサイクルがアクティブで、arraycopy のソースメモリ領域と宛先メモリ領域が重複した状態で arraycopy シーケンスを実行する際に、不正確な長さの値でバッファへのアクセスが可能になります。これにより、配列範囲の終端を超えたアドレスの読み取りと書き込みが可能になります。(CVE-2024-3933)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされた IBM WebSphere eXtreme Scale のバージョンは、8.6.1.6 より前です。したがって、7166876 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Eclipse OpenJ9 リリースバージョン 0.44.0 より前および 0.13.0 より後では、JVM オプションで実行する場合
    - Xgc:concurrentScavenge は、保護されたストレージ [1] のハードウェアとソフトウェアサポートを備えた IBM Z プラットフォームの System.arrayCopy に対して生成されたシーケンスです。これにより、Concurrent Scavenge のガベージがコレクションサイクルがアクティブで、arraycopy のソースメモリ領域と宛先メモリ領域が重複した状態で arraycopy シーケンスを実行する際に、不正確な長さの値でバッファへのアクセスが可能になります。これにより、配列範囲の終端を超えたアドレスの読み取りと書き込みが可能になります。(CVE-2024-3933)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u401、8u401-perf、11.0.22、17.0.10、21.0.2、22、Oracle GraalVM for JDK: 17.0.10、21.0.2、Oracle GraalVM Enterprise Edition: 20.3.13および 21.3.9です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21094)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 同時実行性)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u401、8u401-perf、11.0.22、Oracle GraalVM Enterprise Edition: 20.3.13および 21.3.9です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。
    注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。
    (CVE-2024-21085)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 15 ホストには、openSUSE-SU-2025:0066-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - OpenJ9 0.49.0 仮想マシンを備えた OpenJDK 11.0.26 に更新
    - Oracle 2024 年 10 月および 2025 年 1 月の CPU 変更を含む
      * CVE-2024-21208 (boo#1231702)、CVE-2024-21210 (boo#1231711)、CVE-2024-21217 (boo#1231716)、CVE-2024-21235 (boo#1231719)、CVE-2025-21502 (boo#1236278)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.49/ を参照

    - OpenJ9 0.46.0 仮想マシンを備えた OpenJDK 11.0.24 に更新
    - Oracle 2024 年 7 月 CPU 変更を含む
      * CVE-2024-21131 (boo#1228046)、CVE-2024-21138 (boo#1228047)、CVE-2024-21140 (boo#1228048)、CVE-2024-21144 (boo#1228050)、CVE-2024-21147 (boo#1228052)、CVE-2024-21145 (boo#1228051)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.46/ を参照

    - OpenJ9 0.44.0 仮想マシンを備えた OpenJDK 11.0.23 に更新
    - Oracle 2024 年 4 月 CPU 変更を含む
      * CVE-2024-21012 (boo#1222987)、CVE-2024-21094 (boo#1222986)、CVE-2024-21011 (boo#1222979)、CVE-2024-21085 (boo#1222984)、CVE-2024-21068 (boo#1222983)
    - OpenJ9/OMR 固有の修正を含みます。
      * CVE-2024-3933 (boo#1225470)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.44/ を参照

    - OpenJ9 0.43.0 仮想マシンを備えた OpenJDK 11.0.22 に更新
    - Oracle 2024 年 1 月 CPU 変更を含む
      * CVE-2024-20918 (boo#1218907)、CVE-2024-20919 (boo#1218903)、CVE-2024-20921 (boo#1218905)、CVE-2024-20926 (boo#1218906)、CVE-2024-20945 (boo#1218909)、CVE-2024-20952 (boo#1218911)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.43/ を参照
    - Java スタックがこのハックを必要としないため、削除する JavaEE モジュールを元に戻す可能性を削除

    - OpenJ9 0.41.0 仮想マシンを備えた OpenJDK 11.0.21 に更新
    - Oracle 2023 年 10 月 CPU 変更を含む
      * CVE-2023-22081、boo#1216374
    - CVE-2023-5676、boo#1217214 の Openj9 0.41.0 の修正を含む
      * 他の OpenJ9 の変更については、https://www.eclipse.org/openj9/docs/version0.41 を参照

    - OpenJ9 0.40.0 仮想マシンを備えた OpenJDK 11.0.20.1 に更新
      * JDK-8313765: 無効な CEN ヘッダー (無効な zip64 追加データフィールドサイズ)

    - OpenJ9 0.40.0 仮想マシンを備えた OpenJDK 11.0.20 に更新
    - Oracle 2023 年 4 月 CPU 変更を含む
      * CVE-2023-22006 (boo#1213473)、CVE-2023-22036 (boo#1213474)、CVE-2023-22041 (boo#1213475)、CVE-2023-22045 (boo#1213481)、CVE-2023-22049 (boo#1213482)、CVE-2023-25193 (boo#1207922)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.40 を参照

    - OpenJ9 0.38.0 仮想マシンを備えた OpenJDK 11.0.19 に更新
    - Oracle 2023 年 4 月 CPU 変更を含む
      * CVE-2023-21930 (boo#1210628)、CVE-2023-21937 (boo#1210631)、CVE-2023-21938 (boo#1210632)、CVE-2023-21939 (boo#1210634)、CVE-2023-21954 (boo#1210635)、CVE-2023-21967 (boo#1210636)、CVE-2023-21968 (boo#1210637)
      * OpenJ9 固有の脆弱性: CVE-2023-2597 (boo#1211615)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.38 を参照

    - OpenJ9 0.36.1 仮想マシンを備えた OpenJDK 11.0.18 に更新
      * Oracle 2023 年 1 月 CPU 変更を含む
        - CVE-2023-21835、boo#1207246
        - CVE-2023-21843、boo#1207248
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.36 を参照

    - OpenJ9 0.35.0 仮想マシンを備えた OpenJDK 11.0.17 に更新
      * Oracle 2022 年 10 月 CPU 変更を含む CVE-2022-21618 (boo#1204468)、CVE-2022-21619 (boo#1204473)、CVE-2022-21626 (boo#1204471)、CVE-2022-21624 (boo#1204475)、CVE-2022-21628 (boo#1204472)、CVE-2022-39399 (boo#1204480)
      * OpenJ9 の脆弱性 boo#1204703、CVE-2022-3676 を修正
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.35 を参照

    - OpenJ9 0.33.0 仮想マシンを備えた OpenJDK 11.0.16 に更新
      * Oracle 2022 年 7 月 CPU 変更を含む CVE-2022-21540 (boo#1201694)、CVE-2022-21541 (boo#1201692)、CVE-2022-34169 (boo#1201684)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.33 を参照

    - OpenJ9 0.32.0 仮想マシンを備えた OpenJDK 11.0.15 に更新
      * boo#1198935、CVE-2021-41041 を修正: MethodHandles を使用して未検証のメソッドを呼び出すことができます
      * Oracle 2022 年 4 月 CPU 修正を含む CVE-2022-21426 (boo#1198672)、CVE-2022-21434 (boo#1198674)、CVE-2022-21443 (boo#1198675)、CVE-2022-21476 (boo#1198671)、CVE-2022-21496 (boo#1198673)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.32 を参照

    - OpenJ9 0.30.1 仮想マシンを備えた OpenJDK 11.0.14.1 に更新
      * Oracle 2022 年 1 月 CPU 変更を含む (boo#1194925, boo#1194926, boo#1194927, boo#1194928, boo#1194929, boo#1194930, boo#1194931, boo#1194932, boo#1194933, boo#1194934, boo#1194935, boo#1194937, boo#1194939, boo#1194940, boo#1194941)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.30.1 を参照

    - OpenJ9 0.29.0 仮想マシンを備えた OpenJDK 11.0.13 に更新
      * Oracle 2021 年 7 月および 2021 年 10 月 CPU 変更を含む (boo#1188564, boo#1188565, boo#1188566, boo#1191901, boo#1191909, boo#1191910, boo#1191911, boo#1191912, boo#1191913, boo#1191903, boo#1191904, boo#1191914, boo#1191906)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.29 を参照

    - OpenJ9 0.26.0 仮想マシンを備えた OpenJDK 11.0.11 に更新
      * Oracle 2021 年 4 月 CPU 変更を含む (boo#1185055 および boo#1185056)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.26 を参照

    - OpenJ9 0.24.0 仮想マシンを備えた OpenJDK 11.0.10 に更新
      * Oracle 2021 年 1 月 CPU 変更を含む (boo#1181239)
      * OpenJ9 の変更、https://www.eclipse.org/openj9/docs/version0.24 を参照

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
212296	SUSE SLES12 Security Update : java-1_8_0-ibm (SUSE-SU-2024:4252-1)	Nessus	SuSE Local Security Checks	2024/12/11	2025/1/13	high
212735	SUSE SLES15 / openSUSE 15 Security Update : java-1_8_0-ibm (SUSE-SU-2024:4306-1)	Nessus	SuSE Local Security Checks	2024/12/13	2025/1/15	high
212735	SUSE SLES15 / openSUSE 15 セキュリティ更新 : java-1_8_0-ibm (SUSE-SU-2024:4306-1)	Nessus	SuSE Local Security Checks	2024/12/13	2025/1/15	high
212296	SUSE SLES12 セキュリティ更新 : java-1_8_0-ibm (SUSE-SU-2024:4252-1)	Nessus	SuSE Local Security Checks	2024/12/11	2025/1/13	high
195219	IBM Java 7.1 < 7.1.5.22 / 8.0 < 8.0.8.25 Multiple Vulnerabilities	Nessus	Misc.	2024/5/9	2025/1/10	high
206334	IBM WebSphere eXtreme Scale 8.6.1.0 < 8.6.1.6 (7166876)	Nessus	Web Servers	2024/8/29	2025/1/10	high
206334	IBM WebSphere eXtreme Scale 8.6.1.0 < 8.6.1.6 (7166876)	Nessus	Web Servers	2024/8/29	2025/1/10	high
195219	IBM Java 7.1 < 7.1.5.22/8.0 < 8.0.8.25 多個弱點	Nessus	Misc.	2024/5/9	2025/1/10	high
216439	openSUSE 15 Security Update : java-11-openj9 (openSUSE-SU-2025:0066-1)	Nessus	SuSE Local Security Checks	2025/2/19	2025/2/19	critical
195219	IBM Java 7.1 < 7.1.5.22/8.0 < 8.0.8.25 多个漏洞	Nessus	Misc.	2024/5/9	2025/1/10	high
206334	IBM WebSphere eXtreme Scale 8.6.1.0 < 8.6.1.6 (7166876)	Nessus	Web Servers	2024/8/29	2025/1/10	high
195219	IBM Java 7.1 < 7.1.5.22 / 8.0 < 8.0.8.25 の複数の脆弱性	Nessus	Misc.	2024/5/9	2025/1/10	high
206334	IBM WebSphere eXtreme Scale 8.6.1.0 < 8.6.1.6 (7166876)	Nessus	Web Servers	2024/8/29	2025/1/10	high
216439	openSUSE 15 セキュリティ更新: java-11-openj9 (openSUSE-SU-2025:0066-1)	Nessus	SuSE Local Security Checks	2025/2/19	2025/2/19	critical

检测

插件搜索

high

high

high

high

high

high

high

high

critical

high

high

high

high

critical