Oracle Javaの脆弱性(CVE-2019-2699, CVE-2019-2697, CVE-2019-2698, CVE-2019-2602, CVE-2019-2684)

2019.04.18

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

4月16日に四半期恒例のOracle Javaの脆弱性(CVE-2019-2699, CVE-2019-2697, CVE-2019-2698, CVE-2019-2602, CVE-2019-2684)が公開されました。今回はこれらのJavaの脆弱性についてまとめてみます。

2019/05/11: 脆弱性の内容を更新

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2019-2699
    • 影響するバージョン：Java SE: 8u202
    • サブコンポーネント: Windows DLL
    • CVSS 3.0 Base Score 9.0
    • CVSS Vector: 元情報参照
  • CVE-2019-2697
    • 影響するバージョン：Java SE: 7u211, 8u202
    • サブコンポーネント: 2D
    • CVSS 3.0 Base Score 8.1
    • CVSS Vector: 元情報参照
    • 悪用が難しい脆弱性により、認証されていない攻撃者が複数のプロトコルを利用してネットワークにアクセスし、Java SEを侵害する可能性があります。攻撃に成功すると、Java SEの動作を乗っ取る事が出来ます。注意：この脆弱性は通常、サンドボックス化されたJava Web Startアプリケーションや、サンドボックス化されたJavaアプレットを実行しているクライアントで、信頼できない(インターネットからなどの)コードをロードして実行して展開する際に適用されます。一般にサーバーで、Javaが信頼できるコード(管理者がインストールしたコードなど)のみを展開してロードし、実行するような場合には適用されません。
  • CVE-2019-2698
    • 影響するバージョン：Java SE: 7u211, 8u202
    • サブコンポーネント: 2D
    • CVSS 3.0 Base Score 8.1
    • CVSS Vector: 元情報参照
    • 悪用が難しい脆弱性により、認証されていない攻撃者が複数のプロトコルを利用してネットワークにアクセスし、Java SEを侵害する可能性があります。攻撃に成功すると、Java SEの動作を乗っ取る事が出来ます。注意：この脆弱性は通常、サンドボックス化されたJava Web Startアプリケーションや、サンドボックス化されたJavaアプレットを実行しているクライアントで、信頼できない(インターネットからなどの)コードをロードして実行して展開する際に適用されます。一般にサーバーで、Javaが信頼できるコード(管理者がインストールしたコードなど)のみを展開してロードし、実行するような場合には適用されません。
  • CVE-2019-2602
    • 影響するバージョン：Java SE: 7u211, 8u202, 11.0.2, 12; Java SE Embedded: 8u201
    • サブコンポーネント: Libraries
    • CVSS 3.0 Base Score 7.5
    • CVSS Vector: 元情報参照
  • 悪用が簡単な脆弱性により、認証されていない攻撃者が複数のプロトコルを利用してネットワークにアクセスし、Java SEを侵害する可能性があります。この脆弱性の攻撃を成功させると、認証されずにJava SE, Java SE Embeddedをハングさせたり頻繁にクラッシュ(DoS)を引き起こされる可能性があります。注意: この脆弱性はWebサービスを通して、Untrusted Java Web Start アプリケーションやUntrusted Javaアプレットなどを使わないコンポーネントのAPIにデータが提供される時に利用が可能です。
  • CVE-2019-2684
    • 影響するバージョン：Java SE: 7u211, 8u202, 11.0.2, 12; Java SE Embedded: 8u201
    • サブコンポーネント: RMI
    • CVSS 3.0 Base Score 5.9
    • CVSS Vector: 元情報参照
    • 悪用が難しい脆弱性により、認証されていない攻撃者が複数のプロトコルを利用してネットワークにアクセスし、Java SEを侵害する可能性があります。攻撃に成功すると、Java SEの動作を乗っ取る事が出来ます。注意：この脆弱性は通常、サンドボックス化されたJava Web Startアプリケーションや、サンドボックス化されたJavaアプレットを実行しているクライアントで、信頼できない(インターネットからなどの)コードをロードして実行して展開する際に適用されます。また、APIにデータを渡すWebサービスを介して、指定されたコンポーネントのAPIにデータを渡すことで悪用することも可能です。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

セキュリティ系連載案内

セミナー情報1

2019/07/31 10:00-17:00で開催される、一般社団法人　日本情報システム・ユーザ協会（JUAS）様による有料ハンズオンセミナー「ハンズオンで学ぶ！クラウド時代の運用管理とセキュリティ対策 」にて当ブログの筆者「面　和毅」が講師を努めます。

本セミナーでは、大手ベンダーや外資系企業、ユーザー企業などでセキュリティの専門家として20年以上の経験を持ち、現在、セキュリティエバンジェリストとして活躍する講師が実体験を交えながら、クラウド上のサーバーを安価に守る方法を、演習をまじえ、具体的にお伝えします。

https://juasseminar.jp/seminars/view/4119290にて申し込みを行っております。奮ってご参加ください。

セミナー情報2

2019/05/30 18:00-22:00で、「「やってはイケナイ」をやってみよう」セミナーを行います。

このセミナーでは、実際に色々な「やってはイケナイ」をデモを交えて行い、実際にどのような問題が発生するのかを確認し、その様な万が一の場合を防ぐために行っておくべき対策を紹介していきます。

https://sios.connpass.com/event/129136/がプログラム内容と申し込みの詳細になります。奮ってご参加下さい。

タイトルとURLをコピーしました