Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Oct 2021)

2021.10.21

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

10月19日に四半期恒例のOracle Critical Patch UpdateでOracle Javaの脆弱性(CVE-2021-3517 CVE-2021-35560 CVE-2021-27290 CVE-2021-35567 CVE-2021-35550 CVE-2021-3522 CVE-2021-35586 CVE-2021-35564 CVE-2021-35556 CVE-2021-35559 CVE-2021-35561 CVE-2021-35565 CVE-2021-35578 CVE-2021-35603 CVE-2021-35588)が公開されました。今回はこちらのJavaの脆弱性についてまとめてみます。

情報は分かり次第追記・更新します。

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2021-3517
  • CVE-2021-35560
    • 影響するバージョン：Java SE: 8u301
    • サブコンポーネント: Deployment
    • CVSS 3.0 Base Score 7.5
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-27290
    • 影響するバージョン：Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: Node (Node.js)
    • CVSS 3.0 Base Score 7.5
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35567
    • 影響するバージョン：Java SE: 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: Libraries
    • CVSS 3.0 Base Score 6.8
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35550
    • 影響するバージョン：Java SE: 7u311, 8u301, 11.0.12; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: JSSE
    • CVSS 3.0 Base Score 5.9
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-3522
  • CVE-2021-35586
    • 影響するバージョン：Java SE: 7u311, 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: ImageIO
    • CVSS 3.0 Base Score 5.3
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35564
    • 影響するバージョン：Java SE: 7u311, 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: Keytool
    • CVSS 3.0 Base Score 5.3
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35556
    • 影響するバージョン：Java SE: 7u311, 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: Swing
    • CVSS 3.0 Base Score 5.3
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35559
    • 影響するバージョン：Java SE: 7u311, 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: Swing
    • CVSS 3.0 Base Score 5.3
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35561
    • 影響するバージョン：Java SE: 7u311, 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: Utility
    • CVSS 3.0 Base Score 5.3
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35565
    • 影響するバージョン：Java SE: 7u311, 8u301, 11.0.12; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: JSSE
    • CVSS 3.0 Base Score 5.3
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35578
    • 影響するバージョン：Java SE: 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: JSSE
    • CVSS 3.0 Base Score 5.3
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35603
    • 影響するバージョン：Java SE: 7u311, 8u301, 11.0.12, 17; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: JSSE
    • CVSS 3.0 Base Score 3.7
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。
  • CVE-2021-35588
    • 影響するバージョン：Java SE: 7u311, 8u301; Oracle GraalVM Enterprise Edition: 20.3.3, 21.2.0
    • サブコンポーネント: Hotspot
    • CVSS 3.0 Base Score 3.1
    • CVSS Vector: 元情報参照
    • 情報は詳細が分かり次第更新します。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

セキュリティ系連載案内

日々のメモを更新しています。

セキュリティ関係ニュースを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。

セミナー情報1

コンピュータセキュリティシンポジウム(CSS)2021併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2021の企画講演セッション及び、 一般論文セッションをさせていただきます。

今年もオンラインでの開催となり、OWSトラックの一般論文セッションと企画セッションを行いますので，ご参加よろしくお願いいたします。

https://www.iwsec.org/ows/2021/

タイトルとURLをコピーしました