こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。
07月20日に四半期恒例のOracle Critical Patch UpdateでOracle Javaの脆弱性(CVE-2021-29921, CVE-2021-2388, CVE-2020-28928, CVE-2021-2369, CVE-2021-2432, CVE-2021-2341)が公開されました。今回はこちらのJavaの脆弱性についてまとめてみます。
情報は分かり次第追記・更新します。
[関連リンク(最新5件)]
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Apr 2021)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jan 2021)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Oct 2020)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jul 2020)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Apr 2020)
Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jan 2020)
関連するCVE
情報源
CVE概要(詳細はCVEのサイトをご確認ください)
- CVE-2021-29921
- 影響するバージョン：Oracle GraalVM Enterprise Edition: 20.3.2, 21.1.0
- サブコンポーネント: Python interpreter and runtime (CPython)
- CVSS 3.0 Base Score 9.8
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2021-2388
- 影響するバージョン：Java SE: 8u291, 11.0.11, 16.0.1; Oracle GraalVM Enterprise Edition: 20.3.2, 21.1.0
- サブコンポーネント: Hotspot
- CVSS 3.0 Base Score 7.5
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2020-28928
- 影響するバージョン：Oracle GraalVM Enterprise Edition: 20.3.2, 21.1.0
- サブコンポーネント: LLVM Interpreter (musl libc)
- CVSS 3.0 Base Score 5.5
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2021-2369
- 影響するバージョン：Java SE: 7u301, 8u291, 11.0.11, 16.0.1; Oracle GraalVM Enterprise Edition: 20.3.2, 21.1.0
- サブコンポーネント: Library
- CVSS 3.0 Base Score 4.3
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2021-2432
- 影響するバージョン：Java SE: 7u301
- サブコンポーネント: JNDI
- CVSS 3.0 Base Score 3.7
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
- CVE-2021-2341
- 影響するバージョン：Java SE: 7u301, 8u291, 11.0.11, 16.0.1; Oracle GraalVM Enterprise Edition: 20.3.2, 21.1.0
- サブコンポーネント: Networking
- CVSS 3.0 Base Score 3.1
- CVSS Vector: 元情報参照
- 情報は詳細が分かり次第更新します。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
- https://security-tracker.debian.org/tracker/CVE-2021-29921
- https://security-tracker.debian.org/tracker/CVE-2021-2388
- https://security-tracker.debian.org/tracker/CVE-2020-28928
- https://security-tracker.debian.org/tracker/CVE-2021-2369
- https://security-tracker.debian.org/tracker/CVE-2021-2432
- https://security-tracker.debian.org/tracker/CVE-2021-2341
- Red Hat Enterprise Linux/CentOS
- SUSE/openSUSE
- https://www.suse.com/security/cve/CVE-2021-29921.html
- https://www.suse.com/security/cve/CVE-2021-2388.html
- https://www.suse.com/security/cve/CVE-2020-28928.html
- https://www.suse.com/security/cve/CVE-2021-2369.html
- https://www.suse.com/security/cve/CVE-2021-2432.html
- https://www.suse.com/security/cve/CVE-2021-2341.html
- Ubuntu
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。
セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
- OSSセキュリティ技術の会のメンバーにより、@ITで「Berkeley Packet Filter（BPF）入門」が連載されています。
CM
こちらで小学生の勉強支援サイトをオープンしました。算数のプリント（都度、自動生成）が無料でダウンロードできます。コンテンツは未だ少ないですが、徐々に増やしていきます。
