Oracle Java SEにおける複数の脆弱性

説明

Oracle Java SEコンポーネントには複数の深刻な脆弱性が存在します。悪意のあるユーザーは、これらの脆弱性を悪用してサービス拒否、ローカルファイルの読み取りと書き込み、機密情報の取得を行う可能性があります。

以下に、脆弱性の完全な一覧を示します。

1. サブコンポーネントNetworkingの特定されていない脆弱性は、認証されていない攻撃者が複数のプロトコルを使用してリモートからJava SEおよびJava SE Embeddedアクセス可能データの読み書き（更新、挿入、削除）
2. サブコンポーネントAWT（アブストラクトウィンドウズツールキット）の不特定の脆弱性は、おそらく機密情報を取得するために複数のプロトコルを介して認証されていない攻撃者によってリモートから悪用される可能性があります。
3. サブコンポーネントJAXP（XML ProcessingのためのJava API）の不特定の脆弱性は、認証されていない攻撃者によって複数のプロトコルを介してリモートから悪用される可能性があります。
4. サブコンポーネントNetworkingの不特定の脆弱性は、認証されていない攻撃者がFTP経由でリモートから悪用して、Java SEおよびJava SE Embeddedのアクセス可能なデータを書き込む（更新、挿入、削除する）ことができます。
5. サブコンポーネントセキュリティの不特定の脆弱性は、認証されていない攻撃者がJava SEおよびJava SE Embeddedのアクセス可能なデータを書き込む（更新、挿入、削除する）ために、
6. サブコンポーネントNetworkingの不特定の脆弱性は、SMTPを介して認証されていない攻撃者によってリモートから悪用され、Java SEおよびJava SE Embeddedアクセス可能データの一部を書き込む（更新、挿入、削除する）ことができます。

---

技術的な詳細

すべての脆弱性は、信頼されていないコード（インターネットのコードなど）を使用するJavaデプロイメント（通常、サンドボックス化されたJavaアプレットまたはサンドボックス化されたJawa Web Startアプリケーションを実行し、Javaサンドボックスセキュリティに依存するクライアント）に適用されます。信頼できるコード（例えば、管理者によってインストールされたコード）を実行するJavaデプロイメントは脆弱ではありません。

すべての脆弱性の悪用に成功するには、ユーザーの操作が必要です（認証されていない攻撃者と同じ人ではないユーザー）。

脆弱性（1）、（5）は、Java SE、Java SE Embeddedコンポーネントに関連しています。

脆弱性（3）、（4）、（6）は、Java SE、Java SE EmbeddedおよびJRockitコンポーネントに関連しています。

脆弱性（2）はJava SEにのみ関連しています。

オリジナルアドバイザリー

• Oracle Critical Patch Update Advisory

CVEリスト

も参照してください

お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com