[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[debian-users:55188] [Translate] [SECURITY] [DSA 2224-1] openjdk-6 security update

かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。

------>8------------>8------------>8------------>8------------>8-
- -------------------------------------------------------------------------
Debian Security Advisory DSA-2224-1                   security@debian.org
http://www.debian.org/security/                            Florian Weimer
April 20, 2011                         http://www.debian.org/security/faq
- -------------------------------------------------------------------------

Package        : openjdk-6
Vulnerability  : 複数
Problem type   : リモート
Debian-specific: いいえ
CVE ID         : CVE-2010-4351 CVE-2010-4448 CVE-2010-4450 CVE-2010-4465
                 CVE-2010-4469 CVE-2010-4470 CVE-2010-4471 CVE-2010-4472
                 CVE-2011-0025 CVE-2011-0706

複数の欠陥が Java プラットフォーム実装 OpenJDK に発見されました。

CVE-2010-4351
    JNLP SecurityManager が、一部の条件下で checkPermission メソッド
    から例外を投げることなく返るため、状況依存で攻撃者が ClassLoader
    のインスタンスを作成することにより意図したセキュリティポリシーを
    迂回することが可能です。

CVE-2010-4448
    悪意を持ったアプレットにより、DNS キャッシュポイゾニングが可能で
    す。

CVE-2010-4450
    空で、かつ設定された LD_LIBRARY_PATH 環境変数によりライブラリサー
    チパスを誤るため、信用できない提供元のコード実行を許します。

CVE-2010-4465
    悪意を持ったアプレットにより、Swing タイマーの悪用による特権の期
    間延長が可能です。

CVE-2010-4469
    Hotspot just-in-time コンパイラが細工したバイトシーケンスのコンパ
    イルを誤るため、ヒープ破壊を許します。

CVE-2010-4470
    JAXP は信用できないコードによる特権の昇格を許します。

CVE-2010-4471
    Java2D は信用できないコードによる特権の昇格を許します。

CVE-2010-4472
    XML DSIG 実装は信用できないコードで置き換え可能です。
    Untrusted code can replace the XML DSIG implementation.

CVE-2011-0025
    Signatures on JAR ファイルの署名が適切に検証されていないため、リモ
    ートの攻撃者がユーザを騙して信用できる提供元から提供されたように見
    せかけたコードを実行させることが可能です。

CVE-2011-0706
    JNLPClassLoader クラスは、複数の署名者と「不適切なセキュリティディ
    スクリプタ」への代入に関連した未公開の攻撃手法によりリモートの攻撃
    者からの特権の昇格を許します。

さらに、このセキュリティ更新では、この版の OpenJDK に特有の推奨
Hotspot の版 (hs14) への切替えなどの、安定性の修正が行われています。

旧安定版 (oldstable) ディストリビューション (lenny) では、これらの問題
はバージョン 6b18-1.8.7-2~lenny1 で修正されています。

安定版 (stable) ディストリビューション (squeeze) では、これらの問題は
バージョン 6b18-1.8.7-2~squeeze1 で修正されています。

テスト版 (wheezy) および不安定版 (unstable) ディストリビューションでは、
これらの問題はバージョン 1.8.7-1 で修正されています。

直ぐに openjdk-6 パッケージをアップグレードすることを勧めます。

Debian Security Advisories に関する説明、これらの更新をシステムに適用
する方法、FAQ などは http://www.debian.org/security/ を参照ください。

Mailing list: debian-security-announce@lists.debian.org
------>8------------>8------------>8------------>8------------>8-
-- 
Seiji Kaneko                         skaneko@xxxxxxxxxxxx
---------------------------------------------------------