Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jul 2023)

07月18日に四半期恒例のOracle Critical Patch UpdateでOracle Javaの脆弱性(CVE-2023-22043 CVE-2023-22041 CVE-2023-22051 CVE-2023-25193 CVE-2023-22044 CVE-2023-22045 CVE-2023-22049 CVE-2023-22036 CVE-2023-22006)が公開されました。今回はこちらのJavaの脆弱性についてまとめてみます。

[過去関連リンク(最新5件)]

• Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Apr 2023)
• Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Oct 2022)
• Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jul 2022)
• Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Apr 2022)
• Oracle Javaの脆弱性(Oracle Critical Patch Update Advisory – Jan 2022)

関連するCVE

• CVE-2023-22043
• CVE-2023-22041
• CVE-2023-22051
• CVE-2023-25193
• CVE-2023-22044
• CVE-2023-22045
• CVE-2023-22049
• CVE-2023-22036
• CVE-2023-22006

情報源

• Oracle Critical Patch Update Advisory – Jul 2023

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• CVE-2023-22043
  • 影響するバージョン：Oracle Java SE: 8u371
  • サブコンポーネント: JavaFX
  • CVSS 3.0 Base Score 5.9
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。
• CVE-2023-22041
  • 影響するバージョン：Oracle Java SE: 8u371-perf, 11.0.19, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 20.3.10, 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7, 20.0.1
  • サブコンポーネント: Hotspot
  • CVSS 3.0 Base Score 5.1
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。
• CVE-2023-22051
  • 影響するバージョン：Oracle GraalVM Enterprise Edition: 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7, 20.0.1
  • サブコンポーネント: GraalVM Compiler
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。
• CVE-2023-25193
  • 影響するバージョン：Oracle Java SE: 11.0.19, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 20.3.10, 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7, 20.0.1
  • サブコンポーネント: 2D (Harfbuzz)
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。
• CVE-2023-22044
  • 影響するバージョン：Oracle Java SE: 8u371-perf, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7, 20.0.1
  • サブコンポーネント: Hotspot
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。
• CVE-2023-22045
  • 影響するバージョン：Oracle Java SE: 8u371, 8u371-perf, 11.0.19, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 20.3.10, 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7, 20.0.1
  • サブコンポーネント: Hotspot
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。
• CVE-2023-22049
  • 影響するバージョン：Oracle Java SE: 8u371, 8u371-perf, 11.0.19, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 20.3.10, 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7, 20.0.1
  • サブコンポーネント: Libraries
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。
• CVE-2023-22036
  • 影響するバージョン：Oracle Java SE: 11.0.19, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 20.3.10, 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7, 20.0.1
  • サブコンポーネント: Utility
  • CVSS 3.0 Base Score 3.7
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。
• CVE-2023-22006
  • 影響するバージョン：Oracle Java SE: 11.0.19, 17.0.7, 20.0.1; Oracle GraalVM Enterprise Edition: 20.3.10, 21.3.6, 22.3.2; Oracle GraalVM for JDK: 17.0.7, 20.0.1
  • サブコンポーネント: Networking
  • CVSS 3.0 Base Score 3.1
  • CVSS Vector: 元情報参照
  • 情報は詳細が分かり次第更新します。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2023-22043
  • https://security-tracker.debian.org/tracker/CVE-2023-22041
  • https://security-tracker.debian.org/tracker/CVE-2023-22051
  • https://security-tracker.debian.org/tracker/CVE-2023-25193
  • https://security-tracker.debian.org/tracker/CVE-2023-22044
  • https://security-tracker.debian.org/tracker/CVE-2023-22045
  • https://security-tracker.debian.org/tracker/CVE-2023-22049
  • https://security-tracker.debian.org/tracker/CVE-2023-22036
  • https://security-tracker.debian.org/tracker/CVE-2023-22006
• Red Hat Enterprise Linux/CentOS
  • https://access.redhat.com/security/cve/CVE-2023-22043
  • https://access.redhat.com/security/cve/CVE-2023-22041
  • https://access.redhat.com/security/cve/CVE-2023-22051
  • https://access.redhat.com/security/cve/CVE-2023-25193
  • https://access.redhat.com/security/cve/CVE-2023-22044
  • https://access.redhat.com/security/cve/CVE-2023-22045
  • https://access.redhat.com/security/cve/CVE-2023-22049
  • https://access.redhat.com/security/cve/CVE-2023-22036
  • https://access.redhat.com/security/cve/CVE-2023-22006
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2023-22043.html
  • https://www.suse.com/security/cve/CVE-2023-22041.html
  • https://www.suse.com/security/cve/CVE-2023-22051.html
  • https://www.suse.com/security/cve/CVE-2023-25193.html
  • https://www.suse.com/security/cve/CVE-2023-22044.html
  • https://www.suse.com/security/cve/CVE-2023-22045.html
  • https://www.suse.com/security/cve/CVE-2023-22049.html
  • https://www.suse.com/security/cve/CVE-2023-22036.html
  • https://www.suse.com/security/cve/CVE-2023-22006.html
• Ubuntu
  • https://ubuntu.com/security/CVE-2023-22043
  • https://ubuntu.com/security/CVE-2023-22041
  • https://ubuntu.com/security/CVE-2023-22051
  • https://ubuntu.com/security/CVE-2023-25193
  • https://ubuntu.com/security/CVE-2023-22044
  • https://ubuntu.com/security/CVE-2023-22045
  • https://ubuntu.com/security/CVE-2023-22049
  • https://ubuntu.com/security/CVE-2023-22036
  • https://ubuntu.com/security/CVE-2023-22006

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

[参考]

• Oracle Critical Patch Update Advisory – Jul 2023