Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Oct 2018)

関連するCVE

• CVE-2018-3183
• CVE-2018-3209
• CVE-2018-3169
• CVE-2018-3149
• CVE-2018-3211
• CVE-2018-3180
• CVE-2018-3214
• CVE-2018-3157
• CVE-2018-3150
• CVE-2018-13785
• CVE-2018-3136
• CVE-2018-3139

情報源

Oracle Critical Patch Update Advisory – Oct 2018

CVE概要(詳細はCVEのサイトをご確認ください)

• CVE-2018-3183
  • 影響するバージョン：Java SE: 8u182, 11; Java SE Embedded: 8u181; JRockit: R28.3.19
  • サブコンポーネント: Scripting
  • CVSS 3.0 Base Score 9.0
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
  • スクリプトエンジンに対する非制限のアクセス
• CVE-2018-3209
  • 影響するバージョン：Java SE: 8u182
  • サブコンポーネント: JavaFX
  • CVSS 3.0 Base Score 8.3
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
• CVE-2018-3169
  • 影響するバージョン：Java SE: 7u191, 8u182, 11; Java SE Embedded: 8u181
  • サブコンポーネント: Hotspot
  • CVSS 3.0 Base Score 8.3
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
  • 不適切なフィールドアクセスチェック
• CVE-2018-3149
  • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181; JRockit: R28.3.19
  • サブコンポーネント: JNDI
  • CVSS 3.0 Base Score 8.3
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
  • trustURLCodebase制限の不完全な強制
• CVE-2018-3211
  • 影響するバージョン：Java SE: 8u182, 11; Java SE Embedded: 8u181
  • サブコンポーネント: Serviceability
  • CVSS 3.0 Base Score 6.6
  • CVSS Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
• CVE-2018-3180
  • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181; JRockit: R28.3.19
  • サブコンポーネント: JSSE
  • CVSS 3.0 Base Score 5.6
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
  • TLSセッション再開時のアルゴリズムチェック時の、エンドポイント確認不足
• CVE-2018-3214
  • 影響するバージョン：Java SE: 6u201, 7u191, 8u182; Java SE Embedded: 8u181; JRockit: R28.3.19
  • サブコンポーネント: Sound
  • CVSS 3.0 Base Score 5.3
  • CVSS Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
  • RIFFフォーマットリーダーの無限ループ
• CVE-2018-3157
  • 影響するバージョン：Java SE: 11
  • サブコンポーネント: Sound
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
• CVE-2018-3150
  • 影響するバージョン：Java SE: 11
  • サブコンポーネント: Utility
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
• CVE-2018-13785
  • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181
  • サブコンポーネント: Deployment (libpng)
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: 元情報参照
  • libpng: pngrutil.c:png_check_chunk_length() でのゼロ除算と整数オーバーフローによるDoS
• CVE-2018-3136
  • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181
  • サブコンポーネント: Security
  • CVSS 3.0 Base Score 3.4
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:N
  • 署名されたJarマニフェストでの、符号なし属性の不適切な処理
• CVE-2018-3139
  • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181
  • サブコンポーネント: Networking
  • CVSS 3.0 Base Score 3.1
  • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
  • HTTPリダイレクトを通した重要なヘッダーデータの漏洩

主なディストリビューションの対応方法