Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Oct 2018)

2018.10.17
こちらでは主にOSSの脆弱性を取り上げていきます。10月16日に四半期恒例のOracle Critical Patch Update Advisory – Oct 2018)と、Oracle Javaの脆弱性(CVE-2018-3183, CVE-2018-3209, CVE-2018-3169, CVE-2018-3149, CVE-2018-3211, CVE-2018-3180, CVE-2018-3214, CVE-2018-3157, CVE-2018-3150, CVE-2018-13785, CVE-2018-3136, CVE-2018-3139)が公開されました。今回はこれらのJavaの脆弱性についてまとめてみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

こちらでは主にOSSの脆弱性を取り上げていきます。10月16日に四半期恒例のOracle Critical Patch Update Advisory – Oct 2018)と、Oracle Javaの脆弱性(CVE-2018-3183, CVE-2018-3209, CVE-2018-3169, CVE-2018-3149, CVE-2018-3211, CVE-2018-3180, CVE-2018-3214, CVE-2018-3157, CVE-2018-3150, CVE-2018-13785, CVE-2018-3136, CVE-2018-3139)が公開されました。今回はこれらのJavaの脆弱性についてまとめてみます。

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2018-3183
    • 影響するバージョン：Java SE: 8u182, 11; Java SE Embedded: 8u181; JRockit: R28.3.19
    • サブコンポーネント: Scripting
    • CVSS 3.0 Base Score 9.0
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
    • スクリプトエンジンに対する非制限のアクセス
  • CVE-2018-3209
    • 影響するバージョン：Java SE: 8u182
    • サブコンポーネント: JavaFX
    • CVSS 3.0 Base Score 8.3
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
  • CVE-2018-3169
    • 影響するバージョン：Java SE: 7u191, 8u182, 11; Java SE Embedded: 8u181
    • サブコンポーネント: Hotspot
    • CVSS 3.0 Base Score 8.3
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
    • 不適切なフィールドアクセスチェック
  • CVE-2018-3149
    • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181; JRockit: R28.3.19
    • サブコンポーネント: JNDI
    • CVSS 3.0 Base Score 8.3
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
    • trustURLCodebase制限の不完全な強制
  • CVE-2018-3211
    • 影響するバージョン：Java SE: 8u182, 11; Java SE Embedded: 8u181
    • サブコンポーネント: Serviceability
    • CVSS 3.0 Base Score 6.6
    • CVSS Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
  • CVE-2018-3180
    • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181; JRockit: R28.3.19
    • サブコンポーネント: JSSE
    • CVSS 3.0 Base Score 5.6
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
    • TLSセッション再開時のアルゴリズムチェック時の、エンドポイント確認不足
  • CVE-2018-3214
    • 影響するバージョン：Java SE: 6u201, 7u191, 8u182; Java SE Embedded: 8u181; JRockit: R28.3.19
    • サブコンポーネント: Sound
    • CVSS 3.0 Base Score 5.3
    • CVSS Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
    • RIFFフォーマットリーダーの無限ループ
  • CVE-2018-3157
    • 影響するバージョン：Java SE: 11
    • サブコンポーネント: Sound
    • CVSS 3.0 Base Score 3.7
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
  • CVE-2018-3150
    • 影響するバージョン：Java SE: 11
    • サブコンポーネント: Utility
    • CVSS 3.0 Base Score 3.7
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
  • CVE-2018-13785
    • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181
    • サブコンポーネント: Deployment (libpng)
    • CVSS 3.0 Base Score 3.7
    • CVSS Vector: 元情報参照
    • libpng: pngrutil.c:png_check_chunk_length() でのゼロ除算と整数オーバーフローによるDoS
  • CVE-2018-3136
    • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181
    • サブコンポーネント: Security
    • CVSS 3.0 Base Score 3.4
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:N
    • 署名されたJarマニフェストでの、符号なし属性の不適切な処理
  • CVE-2018-3139
    • 影響するバージョン：Java SE: 6u201, 7u191, 8u182, 11; Java SE Embedded: 8u181
    • サブコンポーネント: Networking
    • CVSS 3.0 Base Score 3.1
    • CVSS Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
    • HTTPリダイレクトを通した重要なヘッダーデータの漏洩

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

タイトルとURLをコピーしました